Senaktiva VPN-tempigilo kalkulas trafikon, ne klavaron

La tempigilo, kiu malkonektas senaktivan VPN-sesion, kalkulas pakaĵojn, ne klavopremojn. Ĝi observas la foreston de komunikado en la tunelo, do tekkomputilo kun retpoŝto, sekurkopia agento aŭ babilkliento en la fono neniam ŝajnas senaktiva al ĝi. Tiu unu fakto klarigas ambaŭ direktojn de la kutima plendo: sesio, kiu postvivas longan tagmanĝon, kaj sesio, kiu mortas meze de aktiva laboro. Decidu, kontraŭ kiu horloĝo vi batalas, antaŭ ol vi serĉos agordon.

Kion la tempigilo efektive observas

Ĉe Cisco ASA la butono estas vpn-idle-timeout, ĝi estas agordata sub grupa politiko aŭ uzanta politiko, kaj ĝi mezuras periodon sen komunikada aktiveco. La unuo estas minutoj, la apriora valoro estas heredata, kaj la kontrolo ruliĝas kontraŭ la trafikaj nombriloj de la sesio, ne kontraŭ tio, kion la operaciumo scias pri enigaj aparatoj. La pordego tute ne scias, ĉu homo sidas ĉe la klavaro. Ĝi scias, kiam ĝi laste vidis pakaĵon de tiu kliento.

La dua horloĝo estas vpn-session-timeout, kaj ĝi estas absoluta. Ĝi komenciĝas kiam la sesio establiĝas kaj finiĝas sendepende de tio, kiom okupata estas la tunelo. Sesio, kiu finiĝas post ekzakte unu horo da peza uzo, estas tiu tempigilo, ne senaktiva tempigilo, kaj neniu kvanto da tajpado ĝin plilongigos.

Legu ambaŭ valorojn antaŭ ol ŝanĝi iun ajn, ĉar ili paneas tiel, ke de la seĝo de la uzanto ili aspektas identaj.

Tri malsamaj horloĝoj, kiujn homoj nomas senaktiveco

Tri nekunligitaj politikoj estas priskribataj kiel la senaktiva tempigilo, kaj nur unu el ili temas pri reta silento.

La tria vico estas tio, kion homoj efektive volas, kiam ili diras, ke la VPN devus ŝlosiĝi kiam iu foriras. VPN-tempigilo ne povas mezuri ĉeeston. Se la postulo estas, ke negardata tekkomputilo perdu aliron, tio apartenas al la politiko de ekranŝloso kaj aparato, kie ĝi povas esti devigata sendepende de fona trafiko.

Miksi la tri produktas petojn kiel malkonekti post tridek minutoj sen tajpado, kiujn neniu VPN-pordego povas honeste realigi.

Trovu la politikon, kiu posedas ĉi tiun konekton

Identigu la klienton kaj la protokolon antaŭ ol serĉi agordon. La enkonstruita Cisco IPsec-profilo de macOS, indiĝena L2TP-konekto kaj Cisco Secure Client ne montras la samajn regilojn, kaj ekrankopio de markobutono malkonekti-se-senaktiva en unu el ili ne estas pruvo pri la aliaj. La indiĝenaj profiloj montras malmulte krom la servilo, la konto kaj la komuna sekreto. La tempigilo loĝas sur la pordego.

Ĉe la ASA, legu la efektivan politikon por la uzanto aŭ grupo anstataŭ la aprioran politikon por ĉiuj:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

La eligo de sesiaj detaloj listigas la senaktivajn kaj sesiajn limojn, kiuj estis efektive aplikitaj, kune kun la restanta tempo. Tio estas la efektiva politiko, inkluzive de heredeco, kion eltiraĵo de running-config ne povas diri al vi. Komparu ĝin kun la grupo, en kiu vi kredas, ke la uzanto estas, ĉar uzanta politiko superregas grupan politikon.

Kial via Mac aspektas konektita post tridek minutoj

Fona trafiko estas la kutima respondo, kaj ĝi ne estas cimo. Retpoŝto, fotosinkronigo, ĝisdatiga kontrolo, babilkliento tenanta ingoton malfermita, aŭ retumila langeto kun reta ingoto ĉiu produktas pakaĵojn, kiujn la pordego kalkulas kiel aktivecon. La tunelo restas malfermita, ĉar ĝi estas efektive uzata, nur ne de vi. Rigardu la nombrilojn anstataŭ la ekranon, se vi volas pruvon.

La spegula bildo estas la sesio, kiu falas dum vi tajpas, kaj tio estas sesia limo aŭ politika ŝanĝo de administranto, ne senaktiveco.

Ekzistas ankaŭ klientflanka efiko, kiun indas koni. Kelkaj klientoj sendas siajn proprajn vivtenajn aŭ mortintpartnerajn sondojn, kaj tiuj pakaĵoj restarigas la senaktivan nombrilon de la pordego. Tial vivteno aldonita por venki limon funkcias, kaj tial ĝi estas la malĝusta ilo: ĝi ŝanĝas la pruvon, kiun la tempigilo vidas, sen ŝanĝi la rajtigan postulon malantaŭ la politiko.

Ŝanĝu la ĝustan butonon sen detrui ĝian celon

Se la celo estas fini klason de konektoj post aprobita reta senaktiveco, petu ĝuste tion en la lingvo de la politiko, kaj tenu la maksimuman sesian daŭron kiel apartan kaj intencitan valoron. Poste testu ĝin laŭ la proceduro de la administranto kun la fona laboro enkalkulita.

Se la celo estas haltigi aliron, kiam homo forlasas la skribotablon, la VPN estas la malĝusta tavolo por devigi tion.

Neniam aldonu trafikproduktan vivtenon nur por teni sesion viva preter politiko verkita por fini ĝin. Tio igas regadon formaleco, kaj ĝi estas trovata en revizio, ne en bileto. Ŝanĝu la politikon, aŭ ŝanĝu la postulon.