নিষ্ক্রিয় VPN টাইমার ট্রাফিক গোনে, কীবোর্ড নয়
গেটওয়ের নিষ্ক্রিয় টাইমআউট টানেলের প্যাকেট দেখে, আপনার কীবোর্ড নয়। যেকোনো একটি বদলানোর আগে নিষ্ক্রিয়, সেশন ও স্ক্রিন-লক টাইমার আলাদা করুন।
নিষ্ক্রিয় VPN সেশন বিচ্ছিন্ন করা টাইমারটি প্যাকেট গণনা করে, কীবোর্ডের চাপ নয়। এটি টানেলের উপর যোগাযোগের অনুপস্থিতি পর্যবেক্ষণ করে, তাই ব্যাকগ্রাউন্ডে মেইল, ব্যাকআপ এজেন্ট বা চ্যাট ক্লায়েন্ট থাকা ল্যাপটপ এর কাছে কখনোই নিষ্ক্রিয় দেখায় না। এই একটি তথ্যই সাধারণ অভিযোগের দুই দিক ব্যাখ্যা করে: দীর্ঘ দুপুরের খাবারের পরেও টিকে থাকা সেশন, এবং সক্রিয় কাজের মাঝখানে মরে যাওয়া সেশন। কোন ঘড়ির সঙ্গে লড়াই করছেন তা ঠিক করুন, তারপর সেটিং খুঁজতে যান।
টাইমারটি আসলে কী পর্যবেক্ষণ করে
Cisco ASA-তে নবটি হলো vpn-idle-timeout, যা গ্রুপ পলিসি বা ব্যবহারকারী পলিসির অধীনে সেট করা হয় এবং এটি যোগাযোগ কার্যক্রমহীন একটি সময়কাল মাপে। একক মিনিট, ডিফল্ট মান উত্তরাধিকারসূত্রে পাওয়া যায়, এবং যাচাইটি অপারেটিং সিস্টেম ইনপুট ডিভাইস সম্পর্কে যা জানে তার বিরুদ্ধে নয়, বরং সেশনের ট্রাফিক কাউন্টারের বিরুদ্ধে চলে। কীবোর্ডের সামনে কোনো মানুষ আছে কি না তা গেটওয়ে জানে না। সেই ক্লায়েন্টের কাছ থেকে শেষ প্যাকেট কখন দেখেছে তা এটি জানে।
দ্বিতীয় ঘড়িটি হলো vpn-session-timeout, এবং এটি নিঃশর্ত। সেশন প্রতিষ্ঠিত হলে এটি শুরু হয় এবং টানেল কতটা ব্যস্ত তার নির্বিশেষে শেষ হয়। ভারী ব্যবহারের ঠিক এক ঘণ্টা পরে শেষ হওয়া সেশনটি ওই টাইমার, নিষ্ক্রিয় টাইমার নয়, এবং কোনো পরিমাণ টাইপিং তা বাড়াবে না।
যেকোনো একটি পরিবর্তনের আগে দুটি মানই পড়ুন, কারণ তারা এমনভাবে ব্যর্থ হয় যা ব্যবহারকারীর চেয়ার থেকে অভিন্ন দেখায়।
মানুষ যাকে নিষ্ক্রিয় বলে তিনটি ভিন্ন ঘড়ি
সম্পর্কহীন তিনটি পলিসিকে নিষ্ক্রিয় টাইমার বলা হয়, এবং তাদের মধ্যে কেবল একটি নেটওয়ার্ক নীরবতা সম্পর্কে।
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
তৃতীয় সারিটিই মানুষ আসলে চায় যখন বলে কেউ সরে গেলে VPN লক হওয়া উচিত। VPN টাইমার উপস্থিতি মাপতে পারে না। যদি প্রয়োজন হয় যে অযত্নে ফেলে রাখা ল্যাপটপ অ্যাক্সেস হারাবে, তবে তার জায়গা স্ক্রিন-লক ও ডিভাইস পলিসিতে, যেখানে ব্যাকগ্রাউন্ড ট্রাফিক নির্বিশেষে তা প্রয়োগ করা যায়।
তিনটে মিশিয়ে দিলে ত্রিশ মিনিট টাইপিং ছাড়া সংযোগ বিচ্ছিন্ন করুন জাতীয় অনুরোধ তৈরি হয়, যা কোনো VPN গেটওয়ে সততার সঙ্গে বাস্তবায়ন করতে পারে না।
এই সংযোগের মালিক পলিসিটি খুঁজুন
সেটিং খোঁজার আগে ক্লায়েন্ট ও প্রোটোকল চিহ্নিত করুন। macOS-এর অন্তর্নির্মিত Cisco IPsec প্রোফাইল, একটি নেটিভ L2TP সংযোগ এবং Cisco Secure Client একই নিয়ন্ত্রণ দেয় না, এবং তাদের একটিতে নিষ্ক্রিয় হলে বিচ্ছিন্ন করুন চেকবক্সের স্ক্রিনশট অন্যগুলো সম্পর্কে প্রমাণ নয়। নেটিভ প্রোফাইলগুলো সার্ভার, অ্যাকাউন্ট ও শেয়ার্ড সিক্রেট ছাড়া খুব কম কিছু দেয়। টাইমারটি গেটওয়েতে থাকে।
ASA-তে সবার জন্য ডিফল্ট পলিসির বদলে ব্যবহারকারী বা গ্রুপের কার্যকর পলিসি পড়ুন:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERসেশন বিস্তারিত আউটপুটে প্রকৃতপক্ষে প্রয়োগ করা নিষ্ক্রিয় ও সেশন টাইমআউট এবং অবশিষ্ট সময় তালিকাভুক্ত থাকে। এটিই কার্যকর পলিসি, উত্তরাধিকারসহ, যা running-config-এর একটি অংশ আপনাকে বলতে পারে না। আপনি যে গ্রুপে ব্যবহারকারী আছে মনে করেন তার সঙ্গে এটি তুলনা করুন, কারণ ব্যবহারকারী পলিসি গ্রুপ পলিসিকে অগ্রাহ্য করে।
ত্রিশ মিনিট পরে আপনার Mac কেন সংযুক্ত দেখায়
ব্যাকগ্রাউন্ড ট্রাফিকই সাধারণ উত্তর, এবং এটি কোনো ত্রুটি নয়। মেইল, ছবি সিঙ্ক, আপডেট যাচাই, সকেট খোলা রাখা চ্যাট ক্লায়েন্ট, বা ওয়েবসকেটযুক্ত ব্রাউজার ট্যাব—প্রতিটি এমন প্যাকেট তৈরি করে যা গেটওয়ে কার্যক্রম হিসেবে গণনা করে। টানেল চালু থাকে কারণ এটি সত্যিই ব্যবহৃত হচ্ছে, কেবল আপনার দ্বারা নয়। প্রমাণ চাইলে স্ক্রিনের বদলে কাউন্টারগুলো দেখুন।
উল্টো ছবিটি হলো আপনি টাইপ করার সময় পড়ে যাওয়া সেশন, যা নিষ্ক্রিয়তা নয়, বরং সেশন টাইমআউট বা প্রশাসকের পলিসি পরিবর্তন।
জানার মতো একটি ক্লায়েন্ট-পক্ষীয় প্রভাবও আছে। কিছু ক্লায়েন্ট নিজেদের কিপঅ্যালাইভ বা ডেড-পিয়ার প্রোব পাঠায়, এবং সেই প্যাকেটগুলো গেটওয়ের নিষ্ক্রিয় কাউন্টার রিসেট করে। এই কারণেই টাইমআউট হারাতে যোগ করা কিপঅ্যালাইভ কাজ করে, এবং এই কারণেই এটি ভুল হাতিয়ার: এটি টাইমার যা দেখে সেই প্রমাণ বদলায়, কিন্তু পলিসির পেছনের অনুমোদনের প্রয়োজনীয়তা বদলায় না।
এর উদ্দেশ্য না ভেঙে সঠিক নবটি বদলান
যদি লক্ষ্য হয় অনুমোদিত নেটওয়ার্ক নিষ্ক্রিয়তার পরে এক শ্রেণির সংযোগ শেষ করা, তবে পলিসির ভাষায় ঠিক তা-ই চান, এবং সর্বোচ্চ সেশন সময়কালকে আলাদা ও সচেতন মান হিসেবে রাখুন। তারপর ব্যাকগ্রাউন্ড কাজ হিসাবের মধ্যে নিয়ে প্রশাসকের পদ্ধতি অনুযায়ী এটি পরীক্ষা করুন।
যদি লক্ষ্য হয় কেউ ডেস্ক ছাড়লে অ্যাক্সেস বন্ধ করা, তবে তা প্রয়োগের জন্য VPN ভুল স্তর।
শুধু একটি সেশনকে তা শেষ করার জন্য লেখা পলিসির বাইরে বাঁচিয়ে রাখতে ট্রাফিক-উৎপাদনকারী কিপঅ্যালাইভ কখনো যোগ করবেন না। এটি একটি নিয়ন্ত্রণকে আনুষ্ঠানিকতায় পরিণত করে, এবং তা টিকিটে নয়, অডিটে ধরা পড়ে। পলিসি বদলান, অথবা প্রয়োজনীয়তা বদলান।