Office Uygulamalarında AD FS Sunucusuna Yönlenen Bağlantıların Yavaş Açılması ve Çözüm Rehberi
Kurumsal ortamlarda Outlook, Word, Excel ve Teams gibi Microsoft 365 uygulamalarının ilk oturum açma veya kimlik doğrulama esnasında AD FS sunucusuna yönlenirken yaşadığı gecikmelerin kök nedenlerini ve çözüm adımlarını inceliyoruz.
Federasyon (AD FS - Active Directory Federation Services) kullanan kurumsal yapılarda kullanıcıların en sık bildirdiği sorunlardan biri; Outlook veya diğer Office uygulamalarını açarken "Kuruluşunuzun oturum açma sayfasına yönlendiriliyorsunuz..." ekranında 15 ila 40 saniye arasında değişen donmalar ve gecikmeler yaşanmasıdır.
Bu makalede, sahada sıkça karşılaştığımız bu performans sorununun arkasındaki ağ, proxy, sertifika doğrulama (CRL) ve Modern Authentication kaynaklı kök nedenleri adım adım çözüme kavuşturuyoruz.
1. En Yaygın Kök Neden: Proxy ve WPAD (Otomatik Ayarları Algıla) Gecikmesi
Office uygulamaları arka planda kimlik doğrulama penceresini (WAM / Web Account Manager veya gömülü tarayıcı bileşenini) açarken Windows'un İnternet Seçenekleri (Internet Options) üzerindeki proxy ayarlarını kullanır.
Eğer istemci bilgisayarlarda "Ayarları otomatik olarak algıla" (Automatically detect settings - WPAD) seçeneği işaretliyse veya kullanılan PAC dosyası içinde AD FS sunucu adresi (örneğin sts.kurum.com) Bypass (İstisna) listesine eklenmemişse, Office uygulaması önce dış proxy üzerinden AD FS'e gitmeye çalışır ve zaman aşımı (timeout) süresi kadar bekler.
Çözüm Adımları:
- Şirket içi ağda WPAD kullanılmıyorsa Group Policy (GPO) veya Intune üzerinden "Automatically detect settings" seçeneğini devre dışı bırakın.
- Proxy / PAC dosyası kullanılıyorsa
sts.kurum.com(AD FS URL'niz) adresinin doğrudan yerel ağa (DIRECT) yönlendirildiğinden emin olun. - AD FS adresinizin İnternet Seçenekleri > Güvenlik > Yerel İntranet (Local Intranet) adresleri arasında tanımlı olduğunu doğrulayın (Bu ayar, şifre sormadan doğrudan Windows Integrated Authentication ile hızlı geçişi sağlar).
2. Sertifika İptal Listesi (CRL) Kontrolü ve Güvenlik Duvarı Engelleri
AD FS sunucunuzda kullanılan SSL sertifikası, istemci tarafından doğrulanırken sertifikanın iptal edilip edilmediğini kontrol etmek için CRL (Certificate Revocation List) ve OCSP adreslerine (genellikle 80 portundan HTTP ile) erişmeye çalışır.
Sıkça yapılan hata, güvenlik duvarında sadece HTTPS (443) portuna izin verilip sertifika sağlayıcısının (DigiCert, GlobalSign vb.) CRL adreslerine giden HTTP trafiğinin bloklanmasıdır. Paketler güvenlik duvarında Drop edildiğinde, Office uygulaması sertifikayı doğrulamak için 15-20 saniye boyunca yanıt bekler ve ardından bağlantıyı açar.
3. Split-DNS (İç ve Dış DNS) Yapılandırması
Şirket içindeki (LAN/VPN) bir kullanıcının Office uygulamasından AD FS'e giderken önce internete çıkıp Web Application Proxy (WAP) sunucularına çarpması hem gereksiz gecikme yaratır hem de ek güvenlik kurallarına takılmasına neden olur.
- İç DNS (Internal DNS):
sts.kurum.comkaydı doğrudan iç ağdaki AD FS sunucularının (veya iç Load Balancer'ın) yerel IP adresini çözmelidir. - Dış DNS (Public DNS):
sts.kurum.comkaydı DMZ'deki WAP sunucularının dış IP adresini çözmelidir.
4. AD FS Sunucusunda "Extended Protection" ve WIA Ayarları
Modern Office istemcileri ve Microsoft Edge WebView2 tabanlı kimlik doğrulama pencereleri, AD FS üzerinde doğru User-Agent tanımlarının bulunmasını bekler. AD FS sunucunuzda hangi tarayıcı ve istemcilerin kesintisiz (şifre sormadan) doğrulama yapacağını PowerShell ile kontrol edebilirsiniz:
AD FS altyapısı; sunucu bakımı, SSL sertifika yenilemeleri, WAP sunucuları ve yukarıda bahsettiğimiz ağ gecikmeleri nedeniyle yüksek operasyonel maliyet oluşturur. Özel bir üçüncü parti/on-prem SAML bağımlılığınız yoksa, Microsoft Entra Connect üzerinden Password Hash Synchronization (PHS) + Seamless SSO mimarisine geçiş yaparak AD FS sunucularını aradan çıkarabilir ve Office oturum açma sürelerini 1 saniyenin altına indirebilirsiniz.
Yorumlar
Yorum Gönder