Časovač nečinnosti VPN počítá provoz, ne klávesnici
Časový limit nečinnosti brány sleduje pakety v tunelu, ne vaši klávesnici. Oddělte časovače nečinnosti, relace a zamykání obrazovky, než některý z nich změníte.
Časovač, který odpojí neaktivní relaci VPN, počítá pakety, ne stisky kláves. Sleduje nepřítomnost komunikace v tunelu, takže notebook s poštou, zálohovacím agentem nebo chatovacím klientem na pozadí mu nikdy nepřipadá neaktivní. Tento jediný fakt vysvětluje oba směry obvyklé stížnosti: relaci, která přežije dlouhý oběd, i relaci, která umře uprostřed aktivní práce. Rozhodněte, proti kterým hodinám bojujete, než začnete hledat nastavení.
Co časovač skutečně sleduje
Na Cisco ASA je tím parametrem vpn-idle-timeout, nastavuje se v zásadách skupiny nebo uživatele a měří období bez komunikační aktivity. Jednotkou jsou minuty, výchozí hodnota se dědí a kontrola běží proti čítačům provozu v relaci, nikoli proti tomu, co operační systém ví o vstupních zařízeních. Brána netuší, jestli je u klávesnice člověk. Ví, kdy naposledy viděla paket od tohoto klienta.
Druhé hodiny jsou vpn-session-timeout a jsou absolutní. Začínají při navázání relace a vyprší bez ohledu na to, jak je tunel vytížený. Relace, která skončí přesně po hodině těžkého používání, je tento časovač, nikoli časovač nečinnosti, a žádné množství psaní ji neprodlouží.
Přečtěte si obě hodnoty, než změníte kteroukoli z nich, protože selhávají způsobem, který z uživatelského křesla vypadá stejně.
Trojí hodiny, kterým lidé říkají nečinnost
Tři nesouvisející zásady se popisují jako časovač nečinnosti a jen jedna z nich je o tichu v síti.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
Třetí řádek je to, co lidé skutečně chtějí, když říkají, že by se VPN měla zamknout, když někdo odejde. Časovač VPN neumí měřit přítomnost. Pokud je požadavkem, aby nehlídaný notebook ztratil přístup, patří to do zásad zamykání obrazovky a zásad zařízení, kde to lze vynutit bez ohledu na provoz na pozadí.
Míchání všech tří dává požadavky typu odpojit po třiceti minutách bez psaní, které žádná brána VPN nedokáže poctivě provést.
Najděte zásadu, která vlastní toto připojení
Než začnete hledat nastavení, určete klienta a protokol. Vestavěný profil Cisco IPsec v macOS, nativní připojení L2TP a Cisco Secure Client neposkytují stejné ovládací prvky a snímek zaškrtávacího pole odpojit při nečinnosti v jednom z nich není důkazem o ostatních. Nativní profily nabízejí málo kromě serveru, účtu a sdíleného tajemství. Časovač žije na bráně.
Na ASA čtěte efektivní zásadu pro uživatele nebo skupinu, ne výchozí zásadu pro všechny:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERVýstup s podrobnostmi relace uvádí skutečně použité časové limity nečinnosti a relace spolu se zbývajícím časem. To je efektivní zásada včetně dědění, což vám výňatek z running-config neřekne. Porovnejte ji se skupinou, o níž si myslíte, že v ní uživatel je, protože zásada uživatele přebíjí zásadu skupiny.
Proč váš Mac po třiceti minutách vypadá připojený
Provoz na pozadí je obvyklá odpověď a není to chyba. Pošta, synchronizace fotografií, kontrola aktualizací, chatovací klient držící socket otevřený nebo karta prohlížeče s web socketem každý vytváří pakety, které brána počítá jako aktivitu. Tunel zůstává otevřený, protože se skutečně používá, jen ne vámi. Sledujte čítače, ne obrazovku, chcete-li důkaz.
Zrcadlovým obrazem je relace, která spadne, když píšete, a to je časový limit relace nebo změna zásady správcem, ne nečinnost.
Existuje také efekt na straně klienta, který stojí za to znát. Někteří klienti posílají vlastní keepalive nebo sondy mrtvého protějšku a tyto pakety resetují čítač nečinnosti brány. Proto keepalive přidaný k překonání časového limitu funguje a proto je to špatný nástroj: mění důkaz, který časovač vidí, aniž by změnil požadavek na autorizaci za zásadou.
Změňte správný parametr, aniž byste zničili jeho smysl
Je-li cílem ukončit třídu připojení po schválené síťové nečinnosti, požádejte přesně o to jazykem zásad a maximální dobu trvání relace držte jako samostatnou a záměrnou hodnotu. Potom to otestujte podle postupu správce se zohledněním práce na pozadí.
Je-li cílem zastavit přístup, když člověk opustí stůl, je VPN špatná vrstva, kde to vynucovat.
Nikdy nepřidávejte keepalive generující provoz jen proto, aby relace přežila zásadu napsanou k jejímu ukončení. Mění to kontrolu ve formalitu a najde se to při auditu, ne v tiketu. Změňte zásadu, nebo změňte požadavek.