In ynaktive VPN-timer telt ferkear, net it toetseboerd
De ynaktiviteits-tiidlimit fan de poarte sjocht nei pakketten op de tunnel, net nei jo toetseboerd. Skift de ynaktiviteits-, sesje- en skermbeskoattelingstimers foardat jo ien feroarje.
De timer dy't in ynaktive VPN-sesje ferbrekt, telt pakketten, net toetsôfslaggen. Hy observearret it ûntbrekken fan kommunikaasje op de tunnel, dus in laptop mei mail, in backup-agent of in chatklant yn de eftergrûn liket him nea ynaktyf. Dat iene feit ferklearret beide rjochtingen fan de gewoane klacht: in sesje dy't in lange middei oerlibbet, en in sesje dy't midden yn aktyf wurk stjert. Bepaal tsjin hokker klok jo fjochtsje foardat jo in ynstelling sykje.
Wat de timer eins observearret
Op in Cisco ASA is de knop vpn-idle-timeout, dy't ûnder in groepsbelied of in brûkersbelied set wurdt, en hy mjit in perioade sûnder kommunikaasje-aktiviteit. De ienheid is minuten, de standertwearde wurdt erfd, en de kontrôle rint tsjin ferkearstellers op de sesje yn stee fan tsjin wat it bestjoeringssysteem oer ynfierapparaten wit. De poarte hat gjin idee oft der in minske by it toetseboerd sit. Hy wit wannear't er foar it lêst in pakket fan dy klant seach.
De twadde klok is vpn-session-timeout, en dy is absolút. Hy begjint by it oprjochtsjen fan de sesje en ferrint nettsjinsteande hoe drok de tunnel is. In sesje dy't nei krekt in oere swier gebrûk einiget, is dy timer, net in ynaktiviteitstimer, en gjin hoemannichte typwurk sil dy ferlingje.
Lês beide wearden foardat jo ien fan beide feroarje, want se falle op manieren dy't fan de stoel fan de brûker identyk lykje.
Trije ferskillende klokken dy't minsken ynaktyf neame
Trije ûnferbâne beliedsregels wurde as de ynaktiviteitstimer beskreaun, en mar ien dêrfan giet oer netwurkstilte.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
De tredde rige is dejinge dy't minsken eins wolle as se sizze dat de VPN beskoattelje moat as immen fuortrint. In VPN-timer kin oanwêzigens net mjitte. As de eask is dat in net-beskoattelle laptop tagong ferliest, heart dat yn it belied foar skermbeskoatteling en apparaat, dêr't it nettsjinsteande eftergrûnferkear hanthavene wurde kin.
It mingen fan de trije jout oanfragen lykas ferbrekke nei tritich minuten sûnder typwurk, dy't gjin inkele VPN-poarte earlik ymplementearje kin.
Fyn it belied dat dizze ferbining hat
Identifisearje de klant en it protokol foardat jo in ynstelling sykje. It ynboude Cisco IPsec-profyl fan macOS, in native L2TP-ferbining en Cisco Secure Client biede net deselde kontrôles, en in skermôfbyld fan in oanfinkje ferbrekke-as-ynaktyf yn ien fan harren is gjin bewiis oer de oaren. De native profilen biede net folle bûten de tsjinner, it akkount en it dielde geheim. De timer libbet op de poarte.
Op de ASA lês jo it effektive belied foar de brûker of groep yn stee fan it standertbelied foar elkenien:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERDe útfier fan sesjedetails listet de ynaktiviteits- en sesjetiidlimitiden op dy't wier tapast binne, mei de oerbleaune tiid. Dat is it effektive belied, erfskip ynbegrepen, wat in fragmint fan running-config jo net fertelle kin. Fergelykje it mei de groep dêr't jo tinke dat de brûker yn sit, want in brûkersbelied giet foar it groepsbelied.
Wêrom't jo Mac nei tritich minuten noch ferbûn liket
Eftergrûnferkear is it gewoane antwurd, en it is gjin bug. Mail, fotosyngronisaasje, in fernijingkontrôle, in chatklant dy't in socket iepen hâldt, of in browserljepper mei in websocket produsearret elk pakketten dy't de poarte as aktiviteit telt. De tunnel bliuwt oer ein omdat er wier brûkt wurdt, allinne net troch jo. Sjoch nei de tellers yn stee fan it skerm as jo bewiis wolle.
It spegelbyld is de sesje dy't falt wylst jo type, en dat is in sesjetiidlimit of in beliedswiziging fan de behearder, net ynaktiviteit.
Der is ek in kliïntkant-effekt dy't it witten wurdich is. Guon klanten stjoere har eigen keepalive- of dead-peer-probes, en dy pakketten sette de ynaktiviteitsteller fan de poarte werom. Dêrom wurket in keepalive dy't tafoege is om in tiidlimit te ferslaan, en dêrom is it it ferkearde ark: it feroaret it bewiis dat de timer sjocht sûnder de autorisaasje-eask efter it belied te feroarjen.
Feroarje de juste knop sûnder it doel derfan te brekken
As it doel is in klasse ferbiningen te einigjen nei goedkarde netwurk-ynaktiviteit, freegje dan krekt dat yn de taal fan it belied, en hâld de maksimale sesjeduor as in aparte en bewuste wearde. Test it dan neffens de proseduere fan de behearder mei eftergrûnwurk meirekkene.
As it doel is tagong te stopjen as in persoan it buro ferlit, is de VPN de ferkearde laach om dat te hanthavenjen.
Foegje nea in ferkearopwekkende keepalive ta allinnich om in sesje libben te hâlden foarby in belied dat skreaun is om it te einigjen. Dat makket fan in kontrôle in formaliteit, en it wurdt fûn yn in audit, net yn in ticket. Feroarje it belied, of feroarje de eask.