Το χρονόμετρο αδράνειας του VPN μετρά κίνηση, όχι πληκτρολόγιο

Το χρονόμετρο που αποσυνδέει μια ανενεργή περίοδο VPN μετρά πακέτα, όχι πατήματα πλήκτρων. Παρατηρεί την απουσία επικοινωνίας στο τούνελ, οπότε ένα φορητό με αλληλογραφία, έναν πράκτορα αντιγράφων ασφαλείας ή έναν πελάτη συνομιλίας στο παρασκήνιο δεν του φαίνεται ποτέ ανενεργό. Αυτό το ένα γεγονός εξηγεί και τις δύο κατευθύνσεις του συνηθισμένου παραπόνου: μια περίοδο που επιβιώνει ενός μεγάλου μεσημεριανού και μια περίοδο που πεθαίνει στη μέση ενεργής εργασίας. Αποφασίστε με ποιο ρολόι παλεύετε πριν ψάξετε για ρύθμιση.

Τι παρατηρεί στην πραγματικότητα το χρονόμετρο

Σε ένα Cisco ASA το κουμπί είναι το vpn-idle-timeout, ορίζεται κάτω από πολιτική ομάδας ή πολιτική χρήστη και μετρά μια περίοδο χωρίς δραστηριότητα επικοινωνίας. Η μονάδα είναι λεπτά, η προεπιλεγμένη τιμή κληρονομείται και ο έλεγχος εκτελείται στους μετρητές κίνησης της περιόδου και όχι σε ό,τι γνωρίζει το λειτουργικό σύστημα για τις συσκευές εισόδου. Η πύλη δεν έχει ιδέα αν κάθεται άνθρωπος στο πληκτρολόγιο. Ξέρει πότε είδε τελευταία φορά πακέτο από αυτόν τον πελάτη.

Το δεύτερο ρολόι είναι το vpn-session-timeout και είναι απόλυτο. Ξεκινά όταν εγκαθίσταται η περίοδος και λήγει ανεξάρτητα από το πόσο απασχολημένο είναι το τούνελ. Μια περίοδος που τελειώνει μετά από ακριβώς μία ώρα βαριάς χρήσης είναι εκείνο το χρονόμετρο, όχι χρονόμετρο αδράνειας, και καμία ποσότητα πληκτρολόγησης δεν θα την παρατείνει.

Διαβάστε και τις δύο τιμές πριν αλλάξετε οποιαδήποτε, γιατί αποτυγχάνουν με τρόπους που από την καρέκλα του χρήστη φαίνονται ίδιοι.

Τρία διαφορετικά ρολόγια που ο κόσμος τα λέει αδράνεια

Τρεις άσχετες πολιτικές περιγράφονται ως χρονόμετρο αδράνειας και μόνο μία από αυτές αφορά τη σιωπή του δικτύου.

Η τρίτη γραμμή είναι αυτό που θέλει πραγματικά ο κόσμος όταν λέει ότι το VPN πρέπει να κλειδώνει όταν κάποιος απομακρύνεται. Ένα χρονόμετρο VPN δεν μπορεί να μετρήσει παρουσία. Αν η απαίτηση είναι ένα φορητό χωρίς επίβλεψη να χάνει την πρόσβαση, αυτό ανήκει στην πολιτική κλειδώματος οθόνης και συσκευής, όπου μπορεί να επιβληθεί ανεξάρτητα από την κίνηση παρασκηνίου.

Η ανάμειξη των τριών παράγει αιτήματα όπως αποσύνδεση μετά από τριάντα λεπτά χωρίς πληκτρολόγηση, που καμία πύλη VPN δεν μπορεί να υλοποιήσει έντιμα.

Βρείτε την πολιτική που κατέχει αυτή τη σύνδεση

Προσδιορίστε τον πελάτη και το πρωτόκολλο πριν ψάξετε για ρύθμιση. Το ενσωματωμένο προφίλ Cisco IPsec του macOS, μια εγγενής σύνδεση L2TP και το Cisco Secure Client δεν εκθέτουν τους ίδιους ελέγχους, και ένα στιγμιότυπο οθόνης ενός πλαισίου αποσύνδεση-αν-αδρανής σε ένα από αυτά δεν είναι απόδειξη για τα άλλα. Τα εγγενή προφίλ εκθέτουν λίγα πέρα από τον διακομιστή, τον λογαριασμό και το κοινόχρηστο μυστικό. Το χρονόμετρο ζει στην πύλη.

Στο ASA, διαβάστε την ενεργή πολιτική για τον χρήστη ή την ομάδα αντί για την προεπιλεγμένη πολιτική για όλους:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Η έξοδος λεπτομερειών της περιόδου απαριθμεί τα όρια αδράνειας και περιόδου που εφαρμόστηκαν πραγματικά, μαζί με τον χρόνο που απομένει. Αυτή είναι η ενεργή πολιτική, με την κληρονομικότητα, κάτι που ένα απόσπασμα running-config δεν μπορεί να σας πει. Συγκρίνετέ την με την ομάδα στην οποία πιστεύετε ότι ανήκει ο χρήστης, γιατί μια πολιτική χρήστη υπερισχύει της πολιτικής ομάδας.

Γιατί το Mac σας φαίνεται συνδεδεμένο μετά από τριάντα λεπτά

Η κίνηση παρασκηνίου είναι η συνηθισμένη απάντηση και δεν είναι σφάλμα. Αλληλογραφία, συγχρονισμός φωτογραφιών, έλεγχος ενημερώσεων, πελάτης συνομιλίας που κρατά ανοιχτό υποδοχέα ή καρτέλα προγράμματος περιήγησης με υποδοχέα ιστού παράγουν το καθένα πακέτα που η πύλη μετρά ως δραστηριότητα. Το τούνελ μένει ανοιχτό γιατί πραγματικά χρησιμοποιείται, απλώς όχι από εσάς. Κοιτάξτε τους μετρητές αντί για την οθόνη αν θέλετε απόδειξη.

Η κατοπτρική εικόνα είναι η περίοδος που πέφτει όσο πληκτρολογείτε, και αυτό είναι όριο περιόδου ή αλλαγή πολιτικής από διαχειριστή, όχι αδράνεια.

Υπάρχει και μια επίδραση στην πλευρά του πελάτη που αξίζει να γνωρίζετε. Μερικοί πελάτες στέλνουν τα δικά τους σήματα διατήρησης ή ανιχνεύσεις νεκρού ομολόγου, και αυτά τα πακέτα μηδενίζουν τον μετρητή αδράνειας της πύλης. Γι αυτό λειτουργεί ένα σήμα διατήρησης που προστίθεται για να νικηθεί ένα όριο και γι αυτό είναι το λάθος εργαλείο: αλλάζει την απόδειξη που βλέπει το χρονόμετρο χωρίς να αλλάζει την απαίτηση εξουσιοδότησης πίσω από την πολιτική.

Αλλάξτε το σωστό κουμπί χωρίς να χαλάσετε το νόημά του

Αν ο στόχος είναι να τερματιστεί μια κατηγορία σύνδεσης μετά από εγκεκριμένη αδράνεια δικτύου, ζητήστε ακριβώς αυτό στη γλώσσα της πολιτικής και κρατήστε τη μέγιστη διάρκεια περιόδου ως ξεχωριστή και συνειδητή τιμή. Έπειτα δοκιμάστε το σύμφωνα με τη διαδικασία του διαχειριστή, με την εργασία παρασκηνίου συνυπολογισμένη.

Αν ο στόχος είναι να σταματήσει η πρόσβαση όταν ένα άτομο φεύγει από το γραφείο, το VPN είναι το λάθος επίπεδο για να το επιβάλει.

Μην προσθέσετε ποτέ σήμα διατήρησης που παράγει κίνηση μόνο για να κρατήσετε μια περίοδο ζωντανή πέρα από μια πολιτική γραμμένη για να την τερματίσει. Αυτό μετατρέπει έναν έλεγχο σε τυπικότητα και ανακαλύπτεται σε έλεγχο, όχι σε αίτημα. Αλλάξτε την πολιτική ή αλλάξτε την απαίτηση.