VPN tenporizadore inaktiboak trafikoa zenbatzen du, ez teklatua
Pasabidearen inaktibitate-mugak tunelaren paketeak behatzen ditu, ez zure teklatua. Bereizi inaktibitate-, saio- eta pantaila-blokeo tenporizadoreak, horietako edozein aldatu aurretik.
VPN saio inaktibo bat deskonektatzen duen tenporizadoreak paketeak zenbatzen ditu, ez tekla-sakatzeak. Tunelaren gaineko komunikazioaren absentzia behatzen du, beraz, atzeko planoan posta, babeskopia-agente bat edo txat bezero bat dituen ordenagailu eramangarria ez zaio inoiz inaktibo iruditzen. Gertaera bakar horrek ohiko kexaren bi noranzkoak azaltzen ditu: bazkari luze bat gainditzen duen saioa eta lan aktiboaren erdian hiltzen den saioa. Erabaki zein erlojuren aurka borrokatzen ari zaren ezarpen bat bilatzen hasi aurretik.
Zer behatzen du benetan tenporizadoreak
Cisco ASA batean parametroa vpn-idle-timeout da, talde-politika edo erabiltzaile-politika baten pean ezartzen da, eta komunikazio-jarduerarik gabeko aldi bat neurtzen du. Unitatea minutuak dira, lehenetsitako balioa heredatzen da, eta egiaztapena saioaren trafiko-kontagailuen aurka egiten da, ez sistema eragileak sarrera-gailuei buruz dakienaren aurka. Pasabideak ez du ideiarik teklatuan norbait dagoen ala ez. Badaki noiz ikusi zuen azken paketea bezero horrengandik.
Bigarren erlojua vpn-session-timeout da, eta absolutua da. Saioa ezartzen denean hasten da eta tunela zenbat okupatuta dagoen alde batera utzita iraungitzen da. Ordubete erabilera astun zehatz baten ondoren amaitzen den saioa tenporizadore hori da, ez inaktibitate-tenporizadore bat, eta idazketa-kantitateak ez du luzatuko.
Irakurri bi balioak edozein aldatu aurretik, erabiltzailearen aulkitik berdinak diruditen moduan huts egiten baitute.
Jendeak inaktibitate deitzen dizkion hiru erloju ezberdin
Erlaziorik gabeko hiru politika inaktibitate-tenporizadore gisa deskribatzen dira, eta horietako bat bakarrik da sare-isiltasunari buruzkoa.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
Hirugarren errenkada da jendeak benetan nahi duena VPNak blokeatu behar duela esaten duenean norbait urruntzen denean. VPN tenporizadore batek ezin du presentzia neurtu. Betekizuna zaintzarik gabeko ordenagailu batek sarbidea galtzea bada, hori pantaila-blokeoaren eta gailuaren politikan dago, non atzeko planoko trafikoaz independente ezar baitaiteke.
Hiru nahasteak hogeita hamar minutu idatzi gabe deskonektatu bezalako eskaerak sortzen ditu, eta VPN pasabide batek ere ezin du hori zintzotasunez inplementatu.
Aurkitu konexio honen jabea den politika
Identifikatu bezeroa eta protokoloa ezarpen bat bilatu aurretik. macOSren Cisco IPsec profil integratuak, L2TP konexio natiboak eta Cisco Secure Client-ek ez dituzte kontrol berberak erakusten, eta horietako batean inaktibo badago deskonektatu laukitxoaren pantaila-argazkia ez da besteena. Profil natiboek gutxi erakusten dute zerbitzariaz, kontuaz eta sekretu partekatuaz harago. Tenporizadorea pasabidean bizi da.
ASAan, irakurri erabiltzailearen edo taldearen politika eraginkorra, denentzako politika lehenetsia ordez:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERSaioaren xehetasunen irteerak benetan aplikatu ziren inaktibitate- eta saio-mugak zerrendatzen ditu, geratzen den denborarekin. Hori da politika eraginkorra, herentzia barne, eta running-config-en zati batek ezin dizu hori esan. Konparatu erabiltzailea dagoela uste duzun taldearekin, erabiltzaile-politikak talde-politika gainditzen baitu.
Zergatik dirudi zure Mac-ek konektatuta hogeita hamar minuturen ondoren
Atzeko planoko trafikoa da erantzun ohikoa, eta ez da akats bat. Postak, argazkien sinkronizazioak, eguneratze-egiaztapenak, socket bat irekita mantentzen duen txat bezeroak edo web socket bat duen nabigatzaile-fitxak paketeak sortzen dituzte, eta pasabideak jarduera gisa zenbatzen ditu. Tunela irekita geratzen da benetan erabiltzen ari delako, baina ez zuk. Begiratu kontagailuei pantailari ordez, froga nahi baduzu.
Ispilu-irudia idazten ari zaren bitartean erortzen den saioa da, eta hori saio-muga edo administratzailearen politika-aldaketa da, ez inaktibitatea.
Bezeroaren aldetik ere badago efektu bat ezagutzea merezi duena. Bezero batzuek beren bizirik-mantentze edo pare hildako zundak bidaltzen dituzte, eta pakete horiek pasabidearen inaktibitate-kontagailua berrezartzen dute. Horregatik funtzionatzen du muga bat gainditzeko gehitutako bizirik-mantentzeak, eta horregatik da tresna okerra: tenporizadoreak ikusten duen froga aldatzen du, politikaren atzeko baimen-baldintza aldatu gabe.
Aldatu kontrol zuzena bere helburua hautsi gabe
Helburua sare-inaktibitate onartu baten ondoren konexio-mota bat amaitzea bada, eskatu zehazki hori politikaren hizkuntzan, eta eduki saioaren gehieneko iraupena balio bereizi eta nahita hartu gisa. Gero probatu administratzailearen prozeduraren arabera, atzeko planoko lana kontuan hartuta.
Helburua pertsona bat mahaia uzten duenean sarbidea gelditzea bada, VPNa da hori ezartzeko geruza okerra.
Inoiz ez gehitu trafikoa sortzen duen bizirik-mantentzerik saio bat amaitzeko idatzitako politika batetik harago bizirik edukitzeko soilik. Horrek kontrola formalitate bihurtzen du, eta auditoria batean aurkitzen da, ez tiket batean. Aldatu politika, edo aldatu betekizuna.