Wat 'n onaktiewe VPN-tydhouer meet: verkeer, nie tikwerk nie
Die poort se onaktiewe tydhouer kyk na pakkette op die tonnel, nie na jou sleutelbord nie. Skei die onaktiewe, sessie- en skermslot-tydhouers voordat jy enigeen daarvan verander.
Die tydhouer wat 'n onaktiewe VPN-sessie ontkoppel, tel pakkette, nie toetsaanslae nie. Dit kyk na die afwesigheid van kommunikasie op die tonnel, so 'n skootrekenaar met e-pos, 'n rugsteunagent of 'n kletskliënt in die agtergrond lyk nooit vir hom onaktief nie. Daardie een feit verduidelik beide rigtings van die gewone klag: 'n sessie wat 'n lang middagete oorleef, en 'n sessie wat in die middel van aktiewe werk sterf. Bepaal teen watter klok jy veg voordat jy na 'n instelling gaan soek.
Wat die tydhouer werklik meet
Op 'n Cisco ASA is die instelling vpn-idle-timeout, wat onder 'n groepbeleid of 'n gebruikersbeleid gestel word, en dit meet 'n tydperk sonder kommunikasie-aktiwiteit. Die eenheid is minute, die verstekwaarde word geërf, en die kontrole loop teen verkeerstellers op die sessie eerder as teen enigiets wat die bedryfstelsel van invoertoestelle weet. Die poort het geen idee of daar 'n mens by die sleutelbord is nie. Dit weet wanneer dit laas 'n pakkie van daardie kliënt gesien het.
Die tweede klok is vpn-session-timeout, en dit is absoluut. Dit begin wanneer die sessie tot stand gebring word en verstryk ongeag hoe besig die tonnel is. 'n Sessie wat na presies een uur van swaar gebruik eindig, is daardie tydhouer, nie 'n onaktiewe tydhouer nie, en geen hoeveelheid tikwerk sal dit verleng nie.
Lees albei waardes voordat jy enigeen verander, want hulle faal op maniere wat van die gebruiker se stoel af identies lyk.
Drie verskillende klokke wat mense onaktief noem
Drie onverwante beleide word as die onaktiewe tydhouer beskryf, en net een daarvan gaan oor netwerkstilte.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
Die derde ry is die een wat mense eintlik wil hê wanneer hulle sê die VPN moet sluit wanneer iemand wegstap. 'n VPN-tydhouer kan nie teenwoordigheid meet nie. As die vereiste is dat 'n onbewaakte skootrekenaar toegang verloor, hoort dit in skermslot- en toestelbeleid, waar dit afgedwing kan word ongeag agtergrondverkeer.
Om die drie te meng lewer versoeke soos ontkoppel ná dertig minute sonder tikwerk, wat geen VPN-poort eerlik kan implementeer nie.
Vind die beleid wat hierdie verbinding besit
Identifiseer die kliënt en die protokol voordat jy na 'n instelling soek. Die ingeboude macOS Cisco IPsec-profiel, 'n inheemse L2TP-verbinding en Cisco Secure Client bied nie dieselfde kontroles nie, en 'n skermkiekie van 'n merkblokkie vir ontkoppel-indien-onaktief in een van hulle is nie bewyse oor die ander nie. Die inheemse profiele bied min buiten die bediener, die rekening en die gedeelde geheim. Die tydhouer woon op die poort.
Op die ASA lees jy die effektiewe beleid vir die gebruiker of groep eerder as die verstekbeleid vir almal:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERDie sessiebesonderhede-uitvoer lys die onaktiewe en sessie-tydhouers wat werklik toegepas is, saam met die oorblywende tyd. Dit is die effektiewe beleid, erfenis ingesluit, wat 'n running-config-uittreksel jou nie kan vertel nie. Vergelyk dit met die groep waarin jy dink die gebruiker is, want 'n gebruikersbeleid oorheers die groepbeleid.
Hoekom jou Mac ná dertig minute nog verbind lyk
Agtergrondverkeer is die gewone antwoord, en dit is nie 'n fout nie. E-pos, fotosinchronisering, 'n opdateringskontrole, 'n kletskliënt wat 'n sok oop hou, of 'n blaaier-oortjie met 'n websocket lewer elkeen pakkette wat die poort as aktiwiteit tel. Die tonnel bly staan omdat dit werklik gebruik word, net nie deur jou nie. Kyk na die tellers eerder as die skerm as jy bewyse wil hê.
Die spieëlbeeld is die sessie wat val terwyl jy tik, wat 'n sessie-tydhouer of 'n administrateur se beleidsverandering is, nie onaktiwiteit nie.
Daar is ook 'n kliëntkant-effek wat die moeite werd is om te weet. Sommige kliënte stuur hul eie lewendhou- of dooie-eweknie-probes, en daardie pakkette herstel die poort se onaktiewe teller. Dit is hoekom 'n lewendhouer wat bygevoeg is om 'n tydhouer te verydel werk, en hoekom dit die verkeerde instrument is: dit verander die bewyse wat die tydhouer sien sonder om die magtigingsvereiste agter die beleid te verander.
Verander die regte instelling sonder om die punt daarvan te verydel
As die doel is om 'n klas verbinding ná goedgekeurde netwerkonaktiwiteit te beëindig, vra presies dit in die beleidstaal, en hou die maksimum sessieduur as 'n aparte en doelbewuste waarde. Toets dit dan onder die administrateur se prosedure met agtergrondwerk in berekening gebring.
As die doel is om toegang te stop wanneer 'n persoon die lessenaar verlaat, is die VPN die verkeerde laag om dit af te dwing.
Moet nooit 'n verkeer-genererende lewendhouer byvoeg net om 'n sessie verby 'n beleid wat geskryf is om dit te beëindig, aan die lewe te hou nie. Dit verander 'n beheer in 'n formaliteit, en dit word in 'n oudit gevind eerder as in 'n kaartjie. Verander die beleid, of verander die vereiste.