Таймер прастою VPN лічыць трафік, а не клавіятуру

Таймер, які адключае прастойную VPN-сесію, лічыць пакеты, а не націскі клавіш. Ён назірае за адсутнасцю сувязі ў тунелі, таму ноўтбук з поштай, агентам рэзервовага капіявання ці кліентам чата ў фоне ніколі не выглядае для яго простым. Гэты адзіны факт тлумачыць абодва напрамкі звычайнай скаргі: сесію, якая вытрымлівае доўгі абед, і сесію, якая падае пасярэдзіне актыўнай працы. Вызначце, з якім гадзіннікам вы змагаецеся, перш чым шукаць наладу.

Што таймер насамрэч назірае

На Cisco ASA гэта параметр vpn-idle-timeout, які задаецца ў палітыцы групы або палітыцы карыстальніка і вымярае перыяд без актыўнасці сувязі. Адзінка — хвіліны, значэнне па змаўчанні наследуецца, а праверка ідзе па лічыльніках трафіку ў сесіі, а не па тым, што аперацыйная сістэма ведае пра прылады ўводу. Шлюз не мае ўяўлення, ці сядзіць чалавек за клавіятурай. Ён ведае, калі апошні раз бачыў пакет ад гэтага кліента.

Другі гадзіннік — vpn-session-timeout, і ён абсалютны. Ён пачынаецца пры ўсталяванні сесіі і сканчаецца незалежна ад таго, наколькі заняты тунель. Сесія, якая заканчваецца роўна праз гадзіну цяжкага выкарыстання, — гэта той таймер, а не таймер прастою, і ніякая колькасць набору не падоўжыць яе.

Прачытайце абодва значэнні, перш чым змяняць любое з іх, бо яны выходзяць з ладу так, што з месца карыстальніка выглядае аднолькава.

Тры розныя гадзіннікі, якія людзі называюць прастоем

Тры незвязаныя палітыкі апісваюць як таймер прастою, і толькі адна з іх пра цішыню ў сетцы.

Трэці радок — гэта тое, чаго людзі насамрэч хочуць, калі кажуць, што VPN павінен блакавацца, калі хтосьці адыходзіць. Таймер VPN не можа вымераць прысутнасць. Калі патрабаванне ў тым, каб пакінуты ноўтбук страціў доступ, гэта месца палітыкі блакіроўкі экрана і палітыкі прылады, дзе яго можна забяспечыць незалежна ад фонавага трафіку.

Змешванне трох дае запыты накшталт адключыць праз трыццаць хвілін без набору, якія ні адзін шлюз VPN не можа сумленна рэалізаваць.

Знайдзіце палітыку, якой належыць гэтае злучэнне

Вызначце кліента і пратакол, перш чым шукаць наладу. Убудаваны профіль Cisco IPsec у macOS, уласнае злучэнне L2TP і Cisco Secure Client не даюць аднолькавых сродкаў кіравання, і здымак экрана з флажком адключыць пры прастоі ў адным з іх не з'яўляецца доказам пра іншыя. Уласныя профілі даюць мала акрамя сервера, уліковага запісу і агульнага сакрэту. Таймер жыве на шлюзе.

На ASA чытайце эфектыўную палітыку для карыстальніка ці групы, а не палітыку па змаўчанні для ўсіх:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Вывад дэталяў сесіі пералічвае прастой і тайм-аўты сесіі, якія фактычна прымяніліся, разам з пакінутым часам. Гэта эфектыўная палітыка, уключаючы наследаванне, і фрагмент running-config не можа вам гэтага сказаць. Параўнайце яе з групай, у якой, на вашу думку, знаходзіцца карыстальнік, бо палітыка карыстальніка перавышае палітыку групы.

Чаму ваш Mac выглядае падключаным праз трыццаць хвілін

Фонавы трафік — звычайная прычына, і гэта не памылка. Пошта, сінхранізацыя фота, праверка абнаўленняў, кліент чата, які трымае сокет адкрытым, або закладка браўзера з вэб-сокетам — кожнае стварае пакеты, якія шлюз лічыць актыўнасцю. Тунель трымаецца, бо ім сапраўды карыстаюцца, проста не вы. Глядзіце на лічыльнікі, а не на экран, калі хочаце доказаў.

Люстраное адлюстраванне — гэта сесія, якая падае, пакуль вы друкуеце, і гэта тайм-аўт сесіі або змена палітыкі адміністратарам, а не прастой.

Ёсць таксама эфект на баку кліента, які варта ведаць. Некаторыя кліенты шлюць уласныя запыты падтрымання сувязі ці праверкі мёртвага партнёра, і гэтыя пакеты скідваюць лічыльнік прастою на шлюзе. Вось чаму даданне падтрымання сувязі для пераадолення тайм-аўту працуе, і вось чаму гэта няправільны інструмент: яно змяняе доказы, якія бачыць таймер, не змяняючы патрабаванне аўтарызацыі за палітыкай.

Змяніце правільны параметр, не знішчыўшы сэнс

Калі мэта — спыніць клас злучэння пасля ўзгодненай сеткавай неактыўнасці, патрабуйце менавіта гэтага ў мове палітыкі і трымайце максімальную працягласць сесіі асобным і свядомым значэннем. Затым праверце гэта па працэдуры адміністратара з улікам фонавай працы.

Калі мэта — спыніць доступ, калі чалавек адыходзіць ад стала, VPN — няправільны ўзровень для гэтага.

Ніколі не дадавайце падтрыманне сувязі, якое генеруе трафік, толькі каб трымаць сесію жывой пасля палітыкі, напісанай дзеля яе завяршэння. Гэта ператварае кантроль у фармальнасць, і яго выяўляюць на аўдыце, а не ў заяўцы. Змяніце палітыку або змяніце патрабаванне.