טיימר חוסר הפעילות של VPN סופר תעבורה, לא מקלדת
מגבלת חוסר הפעילות בשער מתבוננת במנות במנהרה, לא במקלדת שלכם. הפרידו בין טיימרי חוסר פעילות, הפעלה ונעילת מסך לפני שתשנו מי מהם.
הטיימר שמנתק הפעלת VPN לא פעילה סופר מנות, לא הקשות מקלדת. הוא מתבונן בהיעדר תקשורת במנהרה, ולכן מחשב נייד שברקע פועל בו דואר, סוכן גיבוי או לקוח צ׳אט לעולם לא נראה לו לא פעיל. העובדה האחת הזו מסבירה את שני הכיוונים של התלונה הרגילה: הפעלה ששורדת ארוחת צהריים ארוכה, והפעלה שמתה באמצע עבודה פעילה. החליטו עם איזה שעון אתם נאבקים לפני שאתם מחפשים הגדרה.
מה הטיימר באמת מתבונן בו
ב-Cisco ASA הכפתור הוא vpn-idle-timeout, הוא מוגדר תחת מדיניות קבוצה או מדיניות משתמש, והוא מודד תקופה בלי פעילות תקשורת. היחידה היא דקות, ערך ברירת המחדל עובר בירושה, והבדיקה רצה מול מוני התעבורה של ההפעלה ולא מול מה שמערכת ההפעלה יודעת על התקני קלט. לשער אין מושג אם יש אדם ליד המקלדת. הוא יודע מתי ראה לאחרונה מנה מאותו לקוח.
השעון השני הוא vpn-session-timeout, והוא מוחלט. הוא מתחיל כשההפעלה נוצרת ופג בלי קשר לכמה עמוסה המנהרה. הפעלה שמסתיימת אחרי שעה בדיוק של שימוש כבד היא הטיימר הזה, לא טיימר חוסר פעילות, ושום כמות הקלדה לא תאריך אותה.
קראו את שני הערכים לפני שתשנו מי מהם, כי הם נכשלים בדרכים שנראות זהות מכיסא המשתמש.
שלושה שעונים שונים שאנשים קוראים להם חוסר פעילות
שלוש מדיניות לא קשורות מתוארות כטיימר חוסר הפעילות, ורק אחת מהן עוסקת בשקט של הרשת.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
השורה השלישית היא מה שאנשים באמת רוצים כשהם אומרים שה-VPN צריך להינעל כשמישהו מתרחק. טיימר של VPN לא יכול למדוד נוכחות. אם הדרישה היא שמחשב נייד ללא השגחה יאבד גישה, זה שייך למדיניות נעילת מסך ומדיניות התקן, שם אפשר לאכוף אותה בלי תלות בתעבורת רקע.
ערבוב השלושה מייצר בקשות כמו להתנתק אחרי שלושים דקות בלי הקלדה, שאף שער VPN לא יכול ליישם ביושר.
מצאו את המדיניות שבעלת החיבור הזה
זהו את הלקוח ואת הפרוטוקול לפני שאתם מחפשים הגדרה. פרופיל Cisco IPsec המובנה של macOS, חיבור L2TP מקורי ו-Cisco Secure Client לא חושפים את אותם פקדים, וצילום מסך של תיבת התנתק אם לא פעיל באחד מהם אינו ראיה לגבי האחרים. הפרופילים המקוריים חושפים מעט מעבר לשרת, לחשבון ולסוד המשותף. הטיימר חי בשער.
ב-ASA, קראו את המדיניות האפקטיבית של המשתמש או הקבוצה ולא את מדיניות ברירת המחדל של כולם:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERפלט פרטי ההפעלה מפרט את מגבלות חוסר הפעילות וההפעלה שהוחלו בפועל, יחד עם הזמן שנותר. זו המדיניות האפקטיבית, כולל ירושה, מה שקטע מ-running-config לא יכול לומר לכם. השוו אותה לקבוצה שאתם חושבים שהמשתמש נמצא בה, כי מדיניות משתמש גוברת על מדיניות קבוצה.
למה ה-Mac שלכם נראה מחובר אחרי שלושים דקות
תעבורת רקע היא התשובה הרגילה, וזה לא באג. דואר, סנכרון תמונות, בדיקת עדכונים, לקוח צ׳אט שמחזיק שקע פתוח, או לשונית דפדפן עם שקע רשת מייצרים כל אחד מנות שהשער סופר כפעילות. המנהרה נשארת פתוחה כי באמת משתמשים בה, רק לא אתם. הסתכלו על המונים ולא על המסך אם אתם רוצים הוכחה.
התמונה ההפוכה היא ההפעלה שנופלת בזמן שאתם מקלידים, וזו מגבלת הפעלה או שינוי מדיניות של מנהל, לא חוסר פעילות.
יש גם השפעה בצד הלקוח שכדאי להכיר. יש לקוחות ששולחים אותות שמירה או בדיקות עמית מת משלהם, והמנות האלה מאפסות את מונה חוסר הפעילות של השער. לכן אות שמירה שנוסף כדי לנצח מגבלה עובד, ולכן הוא הכלי הלא נכון: הוא משנה את הראיה שהטיימר רואה בלי לשנות את דרישת ההרשאה שמאחורי המדיניות.
שנו את הכפתור הנכון בלי לשבור את מטרתו
אם המטרה היא לסיים סוג של חיבורים אחרי חוסר פעילות רשת מאושר, בקשו בדיוק את זה בשפת המדיניות, ושמרו על משך הפעלה מרבי כערך נפרד ומכוון. אחר כך בדקו אותו לפי הנוהל של המנהל עם התחשבות בעבודת הרקע.
אם המטרה היא לעצור גישה כשאדם עוזב את השולחן, ה-VPN הוא השכבה הלא נכונה לאכוף זאת.
לעולם אל תוסיפו אות שמירה שמייצר תעבורה רק כדי להחזיק הפעלה בחיים מעבר למדיניות שנכתבה לסיים אותה. זה הופך בקרה לפורמליות, וזה מתגלה בביקורת ולא בקריאה. שנו את המדיניות, או שנו את הדרישה.