Mae amserydd segur VPN yn cyfrif traffig, nid bysellfwrdd
Mae terfyn segur y giât yn gwylio pecynnau ar y twnnel, nid eich bysellfwrdd. Gwahanwch amseryddion segur, sesiwn a chloi sgrin cyn newid unrhyw un ohonynt.
Mae'r amserydd sy'n datgysylltu sesiwn VPN segur yn cyfrif pecynnau, nid cnociau bysellfwrdd. Mae'n arsylwi ar absenoldeb cyfathrebu ar y twnnel, felly nid yw gliniadur sydd â phost, asiant wrth gefn neu gleient sgwrsio yn y cefndir byth yn edrych yn segur iddo. Mae'r un ffaith honno'n esbonio'r ddau gyfeiriad o'r gŵyn arferol: sesiwn sy'n goroesi cinio hir, a sesiwn sy'n marw yng nghanol gwaith gweithredol. Penderfynwch pa gloc rydych chi'n ymladd ag ef cyn i chi fynd i chwilio am osodiad.
Beth mae'r amserydd yn ei arsylwi mewn gwirionedd
Ar Cisco ASA y nobyn yw vpn-idle-timeout, a osodir o dan bolisi grŵp neu bolisi defnyddiwr, ac mae'n mesur cyfnod heb weithgarwch cyfathrebu. Yr uned yw munudau, mae'r gwerth diofyn yn cael ei etifeddu, ac mae'r gwiriad yn rhedeg yn erbyn cownteri traffig ar y sesiwn yn hytrach nag yn erbyn unrhyw beth y mae'r system weithredu'n ei wybod am ddyfeisiau mewnbwn. Nid oes gan y giât unrhyw syniad a oes dyn wrth y bysellfwrdd. Mae'n gwybod pryd y gwelodd becyn olaf gan y cleient hwnnw.
Yr ail gloc yw vpn-session-timeout, ac mae'n absoliwt. Mae'n dechrau pan sefydlir y sesiwn ac yn dod i ben waeth pa mor brysur yw'r twnnel. Sesiwn sy'n gorffen ar ôl awr gyfan o ddefnydd trwm yw'r amserydd hwnnw, nid amserydd segur, ac ni fydd unrhyw faint o deipio'n ei hymestyn.
Darllenwch y ddau werth cyn newid y naill na'r llall, oherwydd maent yn methu mewn ffyrdd sy'n edrych yn union yr un fath o gadair y defnyddiwr.
Tri chloc gwahanol y mae pobl yn eu galw'n segur
Disgrifir tair polisi digyswllt fel yr amserydd segur, a dim ond un ohonynt sy'n ymwneud â thawelwch y rhwydwaith.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
Y drydedd res yw'r un y mae pobl ei heisiau mewn gwirionedd pan fyddant yn dweud y dylai'r VPN gloi pan fydd rhywun yn cerdded i ffwrdd. Ni all amserydd VPN fesur presenoldeb. Os yw'r gofyniad yn golygu bod gliniadur heb oruchwyliaeth yn colli mynediad, mae hynny'n perthyn i bolisi cloi sgrin a pholisi dyfais, lle gellir ei orfodi waeth beth yw'r traffig cefndir.
Mae cymysgu'r tri yn cynhyrchu ceisiadau fel datgysylltu ar ôl trideg munud heb deipio, na all unrhyw giât VPN eu gweithredu'n onest.
Dewch o hyd i'r polisi sy'n berchen ar y cysylltiad hwn
Nodwch y cleient a'r protocol cyn i chi chwilio am osodiad. Nid yw proffil Cisco IPsec adeiledig macOS, cysylltiad L2TP brodorol a Cisco Secure Client yn dangos yr un rheolyddion, ac nid yw sgrinlun o flwch ticio datgysylltu os yw'n segur yn un ohonynt yn dystiolaeth am y lleill. Ychydig iawn y mae'r proffiliau brodorol yn ei gynnig y tu hwnt i'r gweinydd, y cyfrif a'r gyfrinach a rennir. Mae'r amserydd yn byw ar y giât.
Ar yr ASA, darllenwch y polisi effeithiol ar gyfer y defnyddiwr neu'r grŵp yn hytrach na'r polisi diofyn ar gyfer pawb:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERMae allbwn manylion y sesiwn yn rhestru'r terfynau segur a sesiwn a gymhwyswyd mewn gwirionedd, ynghyd â'r amser sy'n weddill. Dyna'r polisi effeithiol, gan gynnwys etifeddiaeth, na all detholiad o running-config ei ddweud wrthych. Cymharwch ef â'r grŵp y credwch fod y defnyddiwr ynddo, oherwydd mae polisi defnyddiwr yn diystyru polisi grŵp.
Pam mae eich Mac yn edrych yn gysylltiedig ar ôl trideg munud
Traffig cefndir yw'r ateb arferol, ac nid yw'n nam. Mae post, cydamseru lluniau, gwiriad diweddariad, cleient sgwrsio sy'n cadw soced ar agor, neu dab porwr â gwe-soced yn cynhyrchu pecynnau y mae'r giât yn eu cyfrif fel gweithgarwch. Mae'r twnnel yn aros i fyny oherwydd ei fod yn cael ei ddefnyddio go iawn, dim ond nid gennych chi. Gwyliwch y cownteri yn hytrach na'r sgrin os ydych am brawf.
Y drych yw'r sesiwn sy'n cwympo wrth i chi deipio, sef terfyn sesiwn neu newid polisi gan weinyddwr, nid segurdod.
Mae effaith ochr y cleient yn werth ei gwybod hefyd. Mae rhai cleientiaid yn anfon eu cadw'n fyw neu'u profion cymar marw eu hunain, ac mae'r pecynnau hynny'n ailosod cownter segur y giât. Dyna pam mae cadw'n fyw a ychwanegwyd i drechu terfyn yn gweithio, a dyna pam mai dyma'r offeryn anghywir: mae'n newid y dystiolaeth y mae'r amserydd yn ei gweld heb newid y gofyniad awdurdodi y tu ôl i'r polisi.
Newidiwch y nobyn cywir heb dorri ei bwrpas
Os mai'r nod yw terfynu dosbarth o gysylltiad ar ôl anweithgarwch rhwydwaith a gymeradwywyd, gofynnwch am yn union hynny yn iaith y polisi, a chadwch yr hyd sesiwn mwyaf fel gwerth ar wahân a bwriadol. Yna profwch ef o dan weithdrefn y gweinyddwr gyda'r gwaith cefndir wedi'i gyfrif.
Os mai'r nod yw atal mynediad pan fydd person yn gadael y ddesg, y VPN yw'r haen anghywir i'w orfodi.
Peidiwch byth ag ychwanegu cadw'n fyw sy'n cynhyrchu traffig dim ond i gadw sesiwn yn fyw y tu hwnt i bolisi a ysgrifennwyd i'w diweddu. Mae hynny'n troi rheolaeth yn ffurfioldeb, ac mae'n cael ei ddarganfod mewn archwiliad yn hytrach nag mewn tocyn. Newidiwch y polisi, neu newidiwch y gofyniad.