زمان‌سنج بی‌کاری VPN ترافیک را می‌شمارد، نه صفحه‌کلید را
مهلت بی‌کاری دروازه بسته‌های روی تونل را می‌پاید، نه صفحه‌کلید شما را. پیش از تغییر هر یک، زمان‌سنج‌های بی‌کاری، نشست و قفل صفحه را جدا کنید.
زمان‌سنجی که یک نشست VPN بی‌کار را قطع می‌کند بسته‌ها را می‌شمارد، نه فشار دادن کلیدها. این زمان‌سنج نبودِ ارتباط روی تونل را می‌بیند، بنابراین لپ‌تاپی که در پس‌زمینه ایمیل، عامل پشتیبان‌گیری یا کلاینت چت دارد هرگز برای آن بی‌کار به نظر نمی‌رسد. همین یک واقعیت هر دو سوی شکایت رایج را توضیح می‌دهد: نشستی که از یک ناهار طولانی جان سالم به در می‌برد و نشستی که در میانهٔ کار فعال می‌میرد. پیش از جست‌وجوی یک تنظیم، تصمیم بگیرید با کدام ساعت می‌جنگید.
زمان‌سنج در واقع چه چیزی را می‌بیند
روی Cisco ASA این کلید vpn-idle-timeout است که زیر یک سیاست گروهی یا سیاست کاربری تنظیم می‌شود و دوره‌ای بدون فعالیت ارتباطی را اندازه می‌گیرد. واحد دقیقه است، مقدار پیش‌فرض به ارث می‌رسد، و بررسی روی شمارنده‌های ترافیک نشست انجام می‌شود نه روی چیزی که سیستم‌عامل دربارهٔ دستگاه‌های ورودی می‌داند. دروازه هیچ ایده‌ای ندارد که انسانی پشت صفحه‌کلید هست یا نه. فقط می‌داند آخرین بار کِی بسته‌ای از آن کلاینت دیده است.
ساعت دوم vpn-session-timeout است و مطلق است. با برقراری نشست آغاز می‌شود و بدون توجه به این‌که تونل چقدر مشغول است منقضی می‌شود. نشستی که پس از دقیقاً یک ساعت استفادهٔ سنگین پایان می‌یابد همان زمان‌سنج است، نه زمان‌سنج بی‌کاری، و هیچ مقدار تایپی آن را تمدید نمی‌کند.
پیش از تغییر هر کدام، هر دو مقدار را بخوانید، چون به شکل‌هایی شکست می‌خورند که از صندلی کاربر یکسان به نظر می‌رسد.
سه ساعت متفاوت که مردم آن را بی‌کاری می‌نامند
سه سیاست بی‌ربط زمان‌سنج بی‌کاری توصیف می‌شوند و فقط یکی از آن‌ها دربارهٔ سکوت شبکه است.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
ردیف سوم همان چیزی است که مردم واقعاً می‌خواهند وقتی می‌گویند VPN باید قفل شود وقتی کسی دور می‌شود. زمان‌سنج VPN نمی‌تواند حضور را اندازه بگیرد. اگر الزام این است که لپ‌تاپ بی‌سرپرست دسترسی را از دست بدهد، جای آن در سیاست قفل صفحه و سیاست دستگاه است، جایی که می‌توان آن را مستقل از ترافیک پس‌زمینه اعمال کرد.
ترکیب این سه درخواست‌هایی مثل قطع اتصال پس از سی دقیقه بدون تایپ تولید می‌کند که هیچ دروازهٔ VPN نمی‌تواند صادقانه پیاده کند.
سیاستی را پیدا کنید که صاحب این اتصال است
پیش از جست‌وجوی تنظیم، کلاینت و پروتکل را مشخص کنید. پروفایل داخلی Cisco IPsec در macOS، اتصال بومی L2TP و Cisco Secure Client کنترل‌های یکسانی ارائه نمی‌دهند، و تصویر یک کادر قطع اتصال در صورت بی‌کاری در یکی از آن‌ها شاهدی دربارهٔ بقیه نیست. پروفایل‌های بومی جز سرور، حساب و رمز مشترک چیز کمی ارائه می‌دهند. زمان‌سنج روی دروازه زندگی می‌کند.
روی ASA سیاست مؤثر برای کاربر یا گروه را بخوانید، نه سیاست پیش‌فرض برای همه:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERخروجی جزئیات نشست مهلت‌های بی‌کاری و نشستی را که واقعاً اعمال شده‌اند همراه با زمان باقی‌مانده فهرست می‌کند. این همان سیاست مؤثر است، با احتساب وراثت، چیزی که یک قطعه از running-config نمی‌تواند به شما بگوید. آن را با گروهی مقایسه کنید که فکر می‌کنید کاربر در آن است، چون سیاست کاربری سیاست گروهی را نقض می‌کند.
چرا Mac شما پس از سی دقیقه هنوز متصل به نظر می‌رسد
ترافیک پس‌زمینه پاسخ معمول است و این یک اشکال نیست. ایمیل، همگام‌سازی عکس، بررسی به‌روزرسانی، کلاینت چتی که سوکت را باز نگه می‌دارد، یا زبانهٔ مرورگری با وب‌سوکت هر یک بسته‌هایی تولید می‌کنند که دروازه آن‌ها را فعالیت می‌شمارد. تونل باز می‌ماند چون واقعاً استفاده می‌شود، فقط نه توسط شما. اگر مدرک می‌خواهید به شمارنده‌ها نگاه کنید نه به صفحه.
تصویر آینه‌ای نشستی است که در حال تایپ شما می‌افتد، و آن مهلت نشست یا تغییر سیاست مدیر است، نه بی‌کاری.
یک اثر سمت کلاینت هم هست که ارزش دانستن دارد. برخی کلاینت‌ها ضربان نگه‌داشت یا کاوش‌های همتای مردهٔ خود را می‌فرستند و آن بسته‌ها شمارندهٔ بی‌کاری دروازه را بازنشانی می‌کنند. به همین دلیل ضربان نگه‌داشتی که برای شکست دادن یک مهلت افزوده می‌شود کار می‌کند و به همین دلیل ابزار اشتباهی است: مدرکی را که زمان‌سنج می‌بیند تغییر می‌دهد بدون این‌که الزام مجوز پشت سیاست را تغییر دهد.
کلید درست را بدون خراب کردن منظور آن تغییر دهید
اگر هدف پایان دادن به یک کلاس اتصال پس از بی‌کاری تأییدشدهٔ شبکه است، دقیقاً همان را در زبان سیاست بخواهید و حداکثر مدت نشست را به‌عنوان مقداری جداگانه و آگاهانه نگه دارید. سپس آن را بر اساس رویهٔ مدیر و با در نظر گرفتن کار پس‌زمینه آزمایش کنید.
اگر هدف توقف دسترسی هنگام ترک میز توسط یک شخص است، VPN لایهٔ اشتباهی برای اعمال آن است.
هرگز ضربان نگه‌داشت تولیدکنندهٔ ترافیک اضافه نکنید فقط برای زنده نگه داشتن نشست فراتر از سیاستی که برای پایان دادن به آن نوشته شده است. این یک کنترل را به تشریفات تبدیل می‌کند و در یک ممیزی پیدا می‌شود نه در یک تیکت. سیاست را تغییر دهید، یا الزام را تغییر دهید.