Mitteaktiivne VPN-taimer loeb liiklust, mitte klaviatuuri
Lüüsi mitteaktiivsuse ajalimiit jälgib tunnelis olevaid pakette, mitte teie klaviatuuri. Eraldage mitteaktiivsuse, seansi ja ekraaniluku taimerid enne, kui muudate ükskõik millist.
Taimer, mis katkestab mitteaktiivse VPN-seansi, loeb pakette, mitte klahvivajutusi. See jälgib side puudumist tunnelis, nii et sülearvuti, mille taustal töötab post, varundusagent või vestlusklient, ei tundu talle kunagi mitteaktiivne. See üks asjaolu seletab tavalise kaebuse mõlemat suunda: seanss, mis elab üle pika lõunasöögi, ja seanss, mis sureb keset aktiivset tööd. Otsustage, millise kellaga te võitlete, enne kui hakkate seadet otsima.
Mida taimer tegelikult jälgib
Cisco ASA-l on nupuks vpn-idle-timeout, see seatakse grupipoliitika või kasutajapoliitika all ja mõõdab perioodi ilma sideaktiivsuseta. Ühik on minutid, vaikeväärtus päritakse ja kontroll töötab seansi liiklusloendurite vastu, mitte selle vastu, mida operatsioonisüsteem sisendseadmetest teab. Lüüsil pole õrna aimugi, kas klaviatuuri taga istub inimene. Ta teab, millal nägi viimati paketti sellelt kliendilt.
Teine kell on vpn-session-timeout ja see on absoluutne. See algab seansi loomisel ja aegub sõltumata sellest, kui hõivatud tunnel on. Seanss, mis lõpeb täpselt ühe tunni raske kasutuse järel, on see taimer, mitte mitteaktiivsuse taimer, ja ükski tippimise kogus ei pikenda seda.
Lugege mõlemad väärtused enne, kui muudate ükskõik kumba, sest need ebaõnnestuvad viisil, mis kasutaja toolilt vaadates tundub identne.
Kolm erinevat kella, mida inimesed mitteaktiivsuseks nimetavad
Kolm seostamatut poliitikat kirjeldatakse mitteaktiivsuse taimerina ja ainult üks neist käsitleb võrgu vaikust.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
Kolmas rida on see, mida inimesed tegelikult tahavad, kui ütlevad, et VPN peaks lukustuma, kui keegi eemaldub. VPN-i taimer ei suuda kohalolu mõõta. Kui nõue on, et järelevalveta sülearvuti kaotab juurdepääsu, kuulub see ekraaniluku ja seadme poliitikasse, kus seda saab rakendada sõltumata taustaliiklusest.
Kolme segamine tekitab soove nagu katkesta pärast kolmkümmend minutit tippimiseta, mida ükski VPN-lüüs ei suuda ausalt rakendada.
Leidke poliitika, millele see ühendus kuulub
Tehke kindlaks klient ja protokoll enne, kui hakkate seadet otsima. macOS-i sisseehitatud Cisco IPsec-profiil, kohalik L2TP-ühendus ja Cisco Secure Client ei paku samu juhtelemente ning ekraanipilt märkeruudust katkesta-kui-mitteaktiivne ühes neist ei ole tõestus teiste kohta. Kohalikud profiilid pakuvad vähe peale serveri, konto ja jagatud saladuse. Taimer elab lüüsil.
ASA-l lugege kasutaja või grupi kehtivat poliitikat, mitte kõigi jaoks mõeldud vaikepoliitikat:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERSeansi üksikasjade väljund loetleb tegelikult rakendatud mitteaktiivsuse ja seansi ajalimiidid koos järelejäänud ajaga. See on kehtiv poliitika, sealhulgas pärimine, mida running-configi väljavõte teile öelda ei suuda. Võrrelge seda grupiga, kuhu teie arvates kasutaja kuulub, sest kasutajapoliitika tühistab grupipoliitika.
Miks teie Mac paistab pärast kolmkümmend minutit ühendatud
Taustaliiklus on tavaline vastus ja see ei ole viga. Post, fotode sünkroonimine, värskenduste kontroll, pistikühendust lahti hoidja vestlusklient või veebipistikutega brauseri vahekaart tekitavad igaüks pakette, mida lüüs loeb aktiivsuseks. Tunnel püsib avatud, sest seda tõesti kasutatakse, lihtsalt mitte teie poolt. Vaadake loendureid, mitte ekraani, kui tahate tõestust.
Peegelpilt on seanss, mis kukub teie tippimise ajal, ja see on seansi ajalimiit või administraatori poliitikamuudatus, mitte mitteaktiivsus.
On ka kliendipoolne mõju, mida tasub teada. Mõned kliendid saadavad oma elushoidmis- või surnud-partneri sonde ja need paketid lähtestavad lüüsi mitteaktiivsuse loenduri. Seepärast töötab ajalimiidi ületamiseks lisatud elushoidmine ja seepärast on see vale tööriist: see muudab tõestust, mida taimer näeb, muutmata poliitika taga olevat volitamisnõuet.
Muutke õiget nuppu, ilma et rikuksite selle mõtet
Kui eesmärk on lõpetada ühenduste klass pärast kinnitatud võrgu mitteaktiivsust, nõudke täpselt seda poliitika keeles ja hoidke maksimaalset seansi kestust eraldi ja teadliku väärtusena. Seejärel testige seda administraatori protseduuri järgi, arvestades taustatööd.
Kui eesmärk on peatada juurdepääs, kui inimene lahkub töölaualt, on VPN vale kiht selle rakendamiseks.
Ärge kunagi lisage liiklust tekitavat elushoidmist ainult selleks, et hoida seanssi elus poliitikast kauem, mis on kirjutatud selle lõpetamiseks. See muudab kontrolli formaalsuseks ja see leitakse auditil, mitte piletil. Muutke poliitikat või muutke nõuet.