Таймерът за неактивност на VPN брои трафик, не клавиатура

Таймерът, който прекъсва неактивна VPN сесия, брои пакети, а не натискания на клавиши. Той наблюдава липсата на комуникация в тунела, затова лаптоп с поща, агент за архивиране или чат клиент на заден план никога не изглежда неактивен за него. Този един факт обяснява двете посоки на обичайното оплакване: сесия, която оцелява след дълъг обяд, и сесия, която умира по средата на активна работа. Решете с кой часовник се борите, преди да търсите настройка.

Какво всъщност наблюдава таймерът

На Cisco ASA параметърът е vpn-idle-timeout, задава се в групова или потребителска политика и измерва период без комуникационна активност. Единицата е минути, стойността по подразбиране се наследява, а проверката работи срещу броячите на трафика в сесията, а не срещу това, което операционната система знае за входните устройства. Шлюзът няма представа дали човек е на клавиатурата. Той знае кога за последно е видял пакет от този клиент.

Вторият часовник е vpn-session-timeout и е абсолютен. Той започва при установяване на сесията и изтича независимо колко натоварен е тунелът. Сесия, която приключва точно след един час тежка работа, е този таймер, а не таймер за неактивност, и никакво писане няма да я удължи.

Прочетете двете стойности, преди да промените която и да е от тях, защото те се провалят по начин, който от мястото на потребителя изглежда еднакъв.

Три различни часовника, които хората наричат неактивност

Три несвързани политики се описват като таймер за неактивност и само една от тях е за мрежова тишина.

Третият ред е това, което хората всъщност искат, когато казват, че VPN трябва да се заключи, когато някой се отдалечи. Таймерът на VPN не може да измерва присъствие. Ако изискването е оставен без надзор лаптоп да губи достъп, това място е в политиката за заключване на екрана и за устройството, където може да се наложи независимо от фоновия трафик.

Смесването на трите поражда заявки от типа прекъсни след тридесет минути без писане, които никой VPN шлюз не може да изпълни честно.

Намерете политиката, която притежава тази връзка

Определете клиента и протокола, преди да търсите настройка. Вграденият профил Cisco IPsec в macOS, собствената връзка L2TP и Cisco Secure Client не предлагат едни и същи контроли и снимка на екрана на отметка за прекъсване при неактивност в един от тях не е доказателство за останалите. Собствените профили предлагат малко освен сървъра, акаунта и споделената тайна. Таймерът живее на шлюза.

На ASA прочетете ефективната политика за потребителя или групата, а не политиката по подразбиране за всички:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Изходът с детайли за сесията изброява действително приложените времена за неактивност и за сесия, заедно с оставащото време. Това е ефективната политика, включително наследяването, което откъс от running-config не може да ви каже. Сравнете го с групата, в която смятате, че е потребителят, защото потребителската политика отменя груповата.

Защо вашият Mac изглежда свързан след тридесет минути

Фоновият трафик е обичайният отговор и това не е дефект. Поща, синхронизация на снимки, проверка за актуализации, чат клиент, който държи сокет отворен, или раздел на браузъра с уеб сокет — всяко от тях създава пакети, които шлюзът отчита като активност. Тунелът остава отворен, защото наистина се използва, просто не от вас. Гледайте броячите, а не екрана, ако искате доказателство.

Огледалният образ е сесията, която пада, докато пишете, и това е тайм-аут на сесия или промяна на политика от администратор, а не неактивност.

Има и клиентски ефект, който си струва да се знае. Някои клиенти изпращат свои собствени сигнали за поддържане на връзката или проверки за мъртъв партньор и тези пакети нулират брояча за неактивност на шлюза. Затова добавен сигнал за поддържане на връзката, който да победи тайм-аут, работи и затова е грешният инструмент: той променя доказателството, което таймерът вижда, без да променя изискването за оторизация зад политиката.

Променете правилния параметър, без да разрушите смисъла

Ако целта е да се прекрати клас връзки след одобрена мрежова неактивност, поискайте точно това на езика на политиката и дръжте максималната продължителност на сесията като отделна и съзнателна стойност. След това го тествайте по процедурата на администратора, като отчетете фоновата работа.

Ако целта е да се спре достъпът, когато човек напусне бюрото, VPN е грешният слой за налагане.

Никога не добавяйте генериращ трафик сигнал за поддържане на връзката само за да запазите сесия след политика, написана да я прекрати. Това превръща контрола във формалност и се открива при одит, а не в заявка. Променете политиката или променете изискването.