En inaktiv VPN-timer tæller trafik, ikke tastatur

Timeren, der afbryder en inaktiv VPN-session, tæller pakker, ikke tastetryk. Den observerer fraværet af kommunikation på tunnelen, så en bærbar med mail, en backup-agent eller en chatklient i baggrunden ser aldrig inaktiv ud for den. Den ene kendsgerning forklarer begge retninger af den sædvanlige klage: en session, der overlever en lang frokost, og en session, der dør midt i aktivt arbejde. Afgør, hvilket ur du kæmper mod, før du begynder at lede efter en indstilling.

Hvad timeren faktisk observerer

På en Cisco ASA er knappen vpn-idle-timeout, den sættes under en gruppepolitik eller en brugerpolitik, og den måler en periode uden kommunikationsaktivitet. Enheden er minutter, standardværdien nedarves, og kontrollen kører mod trafiktællere på sessionen i stedet for mod noget, som styresystemet ved om inputenheder. Gatewayen aner ikke, om der sidder et menneske ved tastaturet. Den ved, hvornår den sidst så en pakke fra den klient.

Det andet ur er vpn-session-timeout, og det er absolut. Det starter, når sessionen oprettes, og udløber uanset hvor travl tunnelen er. En session, der slutter efter præcis en times tung brug, er den timer, ikke en inaktivitetstimer, og ingen mængde tastning forlænger den.

Læs begge værdier, før du ændrer nogen af dem, fordi de fejler på måder, der ser identiske ud fra brugerens stol.

Tre forskellige ure, som folk kalder inaktivitet

Tre ubeslægtede politikker beskrives som inaktivitetstimeren, og kun én af dem handler om netværksstilhed.

Den tredje række er den, folk faktisk vil have, når de siger, at VPN'en skal låse, når nogen går væk. En VPN-timer kan ikke måle tilstedeværelse. Hvis kravet er, at en ubemandet bærbar mister adgang, hører det hjemme i politikken for skærmlås og enhed, hvor det kan håndhæves uanset baggrundstrafik.

At blande de tre giver ønsker som afbryd efter tredive minutter uden tastning, som ingen VPN-gateway kan implementere ærligt.

Find den politik, der ejer denne forbindelse

Identificér klienten og protokollen, før du leder efter en indstilling. Den indbyggede Cisco IPsec-profil i macOS, en native L2TP-forbindelse og Cisco Secure Client udstiller ikke de samme kontroller, og et skærmbillede af et afbryd-hvis-inaktivt-flueben i en af dem er ikke bevis om de andre. De native profiler udstiller lidt ud over serveren, kontoen og den delte hemmelighed. Timeren bor på gatewayen.

På ASA'en læser du den effektive politik for brugeren eller gruppen i stedet for standardpolitikken for alle:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Sessionsdetaljerne viser de inaktivitets- og sessionstimeouts, der faktisk blev anvendt, sammen med den resterende tid. Det er den effektive politik, inklusive nedarvning, hvilket et uddrag af running-config ikke kan fortælle dig. Sammenlign den med den gruppe, du tror, brugeren er i, fordi en brugerpolitik tilsidesætter gruppepolitikken.

Hvorfor din Mac ser forbundet ud efter tredive minutter

Baggrundstrafik er det sædvanlige svar, og det er ikke en fejl. Mail, fotosynkronisering, et opdateringstjek, en chatklient der holder en socket åben, eller en browservane med en websocket producerer hver pakker, som gatewayen tæller som aktivitet. Tunnelen bliver oppe, fordi den faktisk bruges, bare ikke af dig. Se på tællerne i stedet for skærmen, hvis du vil have bevis.

Spejlbilledet er den session, der falder, mens du skriver, og det er en sessionstimeout eller en administrators politikændring, ikke inaktivitet.

Der er også en klient-side-effekt, som er værd at kende. Nogle klienter sender deres egne keepalive- eller dead-peer-prober, og de pakker nulstiller gatewayens inaktivitetstæller. Det er derfor et keepalive, der er tilføjet for at besejre en timeout, virker, og derfor er det det forkerte værktøj: det ændrer det bevis, timeren ser, uden at ændre autorisationskravet bag politikken.

Skift den rigtige knap uden at ødelægge pointen

Hvis målet er at afslutte en klasse af forbindelser efter godkendt netværksinaktivitet, så bed om præcis det i politikkens sprog, og hold den maksimale sessionsvarighed som en separat og bevidst værdi. Test det derefter efter administratorens procedure med baggrundsarbejdet medregnet.

Hvis målet er at stoppe adgang, når en person forlader skrivebordet, er VPN'en det forkerte lag at håndhæve det i.

Tilføj aldrig et trafikgenererende keepalive bare for at holde en session i live ud over en politik, der er skrevet for at afslutte den. Det gør en kontrol til en formalitet, og det bliver fundet i en revision i stedet for i en sag. Ændr politikken, eller ændr kravet.