مؤقّت الخمول في VPN يعدّ حركة المرور لا نشاط لوحة المفاتيح
مهلة الخمول في البوابة تراقب الحزم على النفق، لا لوحة مفاتيحك. افصل مؤقّتات الخمول والجلسة وقفل الشاشة قبل تغيير أي منها.
المؤقّت الذي يقطع جلسة VPN خاملة يعدّ الحزم، لا ضغطات المفاتيح. إنه يراقب غياب الاتصال على النفق، لذا فإن حاسوبًا محمولًا يعمل فيه البريد أو وكيل نسخ احتياطي أو عميل محادثة في الخلفية لا يبدو خاملًا أبدًا بالنسبة إليه. تلك الحقيقة الواحدة تفسّر الاتجاهين في الشكوى المعتادة: جلسة تصمد خلال غداء طويل، وجلسة تنقطع في منتصف عمل نشط. حدّد أي ساعة تحارب قبل أن تبدأ البحث عن إعداد.
ما الذي يراقبه المؤقّت فعليًا
على Cisco ASA يكون المفتاح vpn-idle-timeout، ويُضبط ضمن سياسة مجموعة أو سياسة مستخدم، وهو يقيس مدةً بلا نشاط اتصال. الوحدة دقائق، والقيمة الافتراضية موروثة، والفحص يجري على عدّادات حركة المرور في الجلسة لا على أي شيء يعرفه نظام التشغيل عن أجهزة الإدخال. لا تملك البوابة أي فكرة عمّا إذا كان إنسان أمام لوحة المفاتيح. إنها تعرف متى رأت آخر حزمة من ذلك العميل.
الساعة الثانية هي vpn-session-timeout، وهي مطلقة. تبدأ عند إنشاء الجلسة وتنتهي بغض النظر عن مدى انشغال النفق. الجلسة التي تنتهي بعد ساعة كاملة من الاستخدام الكثيف تعود إلى ذلك المؤقّت، لا إلى مؤقّت الخمول، ولن يمدّها أي قدر من الكتابة.
اقرأ القيمتين قبل أن تغيّر أيًّا منهما، لأنهما تفشلان بطرق تبدو متطابقة من مقعد المستخدم.
ثلاث ساعات مختلفة يسميها الناس خمولًا
تُوصف ثلاث سياسات غير مترابطة بأنها مؤقّت الخمول، وواحدة فقط منها تتعلق بسكوت الشبكة.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
الصف الثالث هو ما يريده الناس فعليًا عندما يقولون إنه ينبغي للـ VPN أن يُقفل عند مغادرة شخص ما. لا يستطيع مؤقّت VPN قياس الحضور. إذا كان الشرط هو أن يفقد حاسوب مهمل الوصول، فمكان ذلك سياسة قفل الشاشة وسياسة الجهاز، حيث يمكن فرضه بغض النظر عن حركة المرور في الخلفية.
وخلط الثلاثة ينتج طلبات مثل اقطع الاتصال بعد ثلاثين دقيقة بلا كتابة، وهو ما لا تستطيع أي بوابة VPN تنفيذه بأمانة.
اعثر على السياسة التي تملك هذا الاتصال
حدّد العميل والبروتوكول قبل أن تبحث عن إعداد. ملف Cisco IPsec المدمج في macOS واتصال L2TP الأصلي وCisco Secure Client لا تعرض الضوابط نفسها، ولقطة شاشة لمربع اقطع الاتصال عند الخمول في أحدها ليست دليلًا على الآخرين. لا تعرض الملفات الأصلية شيئًا يُذكر غير الخادم والحساب والمفتاح المشترك. المؤقّت يعيش على البوابة.
على ASA، اقرأ السياسة الفعلية للمستخدم أو المجموعة بدلًا من السياسة الافتراضية للجميع:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERيسرد مخرَج تفاصيل الجلسة مهلات الخمول والجلسة المطبّقة فعليًا، مع الوقت المتبقي. تلك هي السياسة الفعلية، بما فيها الوراثة، وهو ما لا يستطيع مقتطف running-config إخبارك به. قارنها بالمجموعة التي تظن أن المستخدم فيها، لأن سياسة المستخدم تتجاوز سياسة المجموعة.
لماذا يبدو جهاز Mac متصلًا بعد ثلاثين دقيقة
حركة المرور في الخلفية هي الجواب المعتاد، وليست خطأً. البريد ومزامنة الصور وفحص التحديثات وعميل محادثة يبقي مقبسًا مفتوحًا أو تبويب متصفح فيه اتصال ويبسوكيت، كلها تنتج حزمًا تعدّها البوابة نشاطًا. يبقى النفق قائمًا لأنه يُستخدم فعلًا، لكن ليس منك. راقب العدّادات لا الشاشة إن أردت الدليل.
الصورة المعاكسة هي الجلسة التي تنقطع أثناء كتابتك، وهي مهلة جلسة أو تغيير في سياسة المسؤول، لا خمول.
هناك أثر من جهة العميل يجدر معرفته أيضًا. بعض العملاء يرسلون إشارات إبقاء حياة أو تحقيقات نظير ميت خاصة بهم، وتلك الحزم تعيد ضبط عدّاد الخمول في البوابة. لهذا يعمل إبقاء الحياة المضاف لتحطيم مهلة ما، ولهذا هو الأداة الخاطئة: إنه يغيّر الدليل الذي يراه المؤقّت دون أن يغيّر شرط التصريح الكامن وراء السياسة.
غيّر المفتاح الصحيح دون أن تبطل الغرض منه
إذا كان الهدف إنهاء فئة اتصال بعد خمول شبكي معتمد، فاطلب ذلك نصًّا في لغة السياسة، واحتفظ بالحد الأقصى لمدة الجلسة كقيمة منفصلة ومقصودة. ثم اختبره وفق إجراء المسؤول مع احتساب العمل في الخلفية.
إذا كان الهدف منع الوصول عند مغادرة شخص مكتبه، فالـ VPN هي الطبقة الخاطئة لفرض ذلك.
لا تضف أبدًا إبقاء حياة يولّد حركة مرور فقط لإبقاء جلسة حية بعد سياسة كُتبت لإنهائها. فذلك يحوّل ضابطًا إلى إجراء شكلي، ويُكتشف في تدقيق لا في تذكرة. غيّر السياسة، أو غيّر المتطلب.