Joutilaan VPN:n ajastin laskee liikennettä, ei näppäimistöä
Yhdyskäytävän joutilaisuusaikakatkaisu tarkkailee tunnelin paketteja, ei näppäimistöäsi. Erota joutilaisuuden, istunnon ja näytön lukituksen ajastimet ennen kuin muutat mitään niistä.
Ajastin, joka katkaisee joutilaan VPN-istunnon, laskee paketteja, ei näppäilyjä. Se tarkkailee yhteydenpidon puuttumista tunnelissa, joten kannettava, jossa on sähköposti, varmuuskopiointiohjelma tai chat-asiakas taustalla, ei näytä sille koskaan joutilaalta. Tämä yksi tosiasia selittää tavallisen valituksen molemmat suunnat: istunto, joka selviää pitkästä lounaasta, ja istunto, joka kuolee kesken aktiivisen työn. Päätä, mitä kelloa vastaan taistelet, ennen kuin etsit asetusta.
Mitä ajastin oikeastaan tarkkailee
Cisco ASA:ssa nuppi on vpn-idle-timeout, se asetetaan ryhmäkäytännön tai käyttäjäkäytännön alle, ja se mittaa jaksoa ilman viestintäaktiivisuutta. Yksikkö on minuutteja, oletusarvo peritään, ja tarkistus kohdistuu istunnon liikennelaskureihin eikä siihen, mitä käyttöjärjestelmä tietää syöttölaitteista. Yhdyskäytävällä ei ole aavistustakaan, istuuko näppäimistön ääressä ihminen. Se tietää, milloin se näki viimeksi paketin siltä asiakkaalta.
Toinen kello on vpn-session-timeout, ja se on absoluuttinen. Se alkaa istunnon muodostamisesta ja päättyy riippumatta siitä, kuinka kiireinen tunneli on. Istunto, joka päättyy täsmälleen tunnin raskaan käytön jälkeen, on tuo ajastin, ei joutilaana pysymisen ajastin, eikä mikään määrä kirjoittamista pidennä sitä.
Lue molemmat arvot ennen kuin muutat kumpaakaan, koska ne epäonnistuvat tavalla, joka näyttää käyttäjän tuolilta samalta.
Kolme eri kelloa, joita ihmiset kutsuvat joutilaaksi
Kolme toisiinsa liittymätöntä käytäntöä kuvataan joutilaana pysymisen ajastimeksi, ja vain yksi niistä koskee verkon hiljaisuutta.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
Kolmas rivi on se, mitä ihmiset oikeastaan haluavat sanoessaan, että VPN:n pitäisi lukittua, kun joku siirtyy pois. VPN-ajastin ei voi mitata läsnäoloa. Jos vaatimuksena on, että valvomaton kannettava menettää pääsyn, se kuuluu näytön lukituksen ja laitteen käytäntöön, jossa se voidaan panna täytäntöön taustaliikenteestä riippumatta.
Kolmen sekoittaminen tuottaa pyyntöjä kuten katkaise kolmenkymmenen minuutin kirjoittamattomuuden jälkeen, joita mikään VPN-yhdyskäytävä ei voi toteuttaa rehellisesti.
Löydä käytäntö, joka omistaa tämän yhteyden
Tunnista asiakas ja protokolla ennen kuin etsit asetusta. macOS:n sisäänrakennettu Cisco IPsec -profiili, natiivi L2TP-yhteys ja Cisco Secure Client eivät tarjoa samoja säätimiä, eikä kuvakaappaus katkaise-jos-joutilas-valintaruudusta yhdessä niistä ole todiste muista. Natiivit profiilit tarjoavat vähän palvelimen, tilin ja jaetun salaisuuden lisäksi. Ajastin asuu yhdyskäytävässä.
ASA:ssa lue käyttäjän tai ryhmän tehokas käytäntö sen sijaan, että lukisit kaikkien oletuskäytännön:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERIstunnon tiedot -tuloste luettelee tosiasiassa sovelletut joutilaisuus- ja istuntorajat sekä jäljellä olevan ajan. Se on tehokas käytäntö, periytyminen mukaan lukien, mitä running-configin ote ei voi kertoa sinulle. Vertaa sitä ryhmään, jossa uskot käyttäjän olevan, koska käyttäjäkäytäntö ohittaa ryhmäkäytännön.
Miksi Macisi näyttää yhdistetyltä kolmenkymmenen minuutin jälkeen
Taustaliikenne on tavallinen vastaus, eikä se ole vika. Sähköposti, kuvien synkronointi, päivitystarkistus, pistokkeen auki pitävä chat-asiakas tai verkkopistokkeellinen selainvälilehti tuottavat kukin paketteja, jotka yhdyskäytävä laskee aktiivisuudeksi. Tunneli pysyy auki, koska sitä todella käytetään, vain ei sinun toimestasi. Katso laskureita näytön sijaan, jos haluat todisteita.
Peilikuva on istunto, joka putoaa kirjoittaessasi, ja se on istuntoraja tai ylläpitäjän käytäntömuutos, ei joutilaisuus.
On myös asiakaspuolen vaikutus, joka kannattaa tietää. Jotkin asiakkaat lähettävät omia elossapito- tai kuolleen vastapuolen kokeitaan, ja ne paketit nollaavat yhdyskäytävän joutilaisuuslaskurin. Siksi aikakatkaisun voittamiseksi lisätty elossapito toimii, ja siksi se on väärä työkalu: se muuttaa todistetta, jonka ajastin näkee, muuttamatta käytännön takana olevaa valtuutusvaatimusta.
Vaihda oikeaa nuppia rikkomatta sen tarkoitusta
Jos tavoitteena on lopettaa yhteysluokka hyväksytyn verkon joutilaisuuden jälkeen, pyydä täsmälleen sitä käytännön kielellä ja pidä istunnon enimmäiskesto erillisenä ja tarkoituksellisena arvona. Testaa se sitten ylläpitäjän menettelyn mukaisesti taustatyö huomioiden.
Jos tavoitteena on estää pääsy, kun henkilö poistuu työpöydältä, VPN on väärä kerros sen toteuttamiseen.
Älä koskaan lisää liikennettä tuottavaa elossapitoa vain pitääksesi istuntoa elossa sen lopettamiseksi kirjoitetun käytännön ohi. Se muuttaa valvonnan muodollisuudeksi, ja se löytyy auditoinnissa, ei tiketissä. Muuta käytäntöä tai muuta vaatimusta.