A VPN tétlenség-időzítője forgalmat számol, nem billentyűzetet

Az az időzítő, amely leválaszt egy tétlen VPN-munkamenetet, csomagokat számol, nem billentyűleütéseket. A kommunikáció hiányát figyeli az alagúton, ezért egy laptop, amelyen háttérben levél, biztonsági mentési ügynök vagy csevegőügyfél fut, soha nem tűnik neki tétlennek. Ez az egyetlen tény magyarázza a szokásos panasz mindkét irányát: a hosszú ebédet túlélő munkamenetet és az aktív munka közepén meghaló munkamenetet. Döntse el, melyik óra ellen harcol, mielőtt beállítást keresne.

Mit figyel valójában az időzítő

Egy Cisco ASA-n a kapcsoló a vpn-idle-timeout, csoportházirend vagy felhasználói házirend alatt állítják be, és a kommunikációs tevékenység nélküli időszakot méri. Az egység perc, az alapérték öröklődik, és az ellenőrzés a munkamenet forgalomszámlálói ellen fut, nem pedig az ellen, amit az operációs rendszer a bemeneti eszközökről tud. Az átjárónak fogalma sincs, ül-e ember a billentyűzetnél. Azt tudja, mikor látott utoljára csomagot attól az ügyféltől.

A második óra a vpn-session-timeout, és az abszolút. A munkamenet létrejöttekor indul, és lejár, függetlenül attól, mennyire elfoglalt az alagút. Az a munkamenet, amely pontosan egy óra nehéz használat után ér véget, az az időzítő, nem egy tétlenség-időzítő, és semmilyen mennyiségű gépelés nem hosszabbítja meg.

Olvassa el mindkét értéket, mielőtt bármelyiket megváltoztatja, mert olyan módon hibáznak, amely a felhasználó székéből azonosnak látszik.

Három különböző óra, amit az emberek tétlenségnek neveznek

Három egymástól független házirendet neveznek tétlenség-időzítőnek, és közülük csak egy szól a hálózat csendjéről.

A harmadik sor az, amit az emberek valójában akarnak, amikor azt mondják, a VPN-nek zárnia kell, ha valaki elmegy. Egy VPN-időzítő nem tud jelenlétet mérni. Ha a követelmény az, hogy egy felügyelet nélküli laptop elveszítse a hozzáférést, az a képernyőzár- és eszközházirendbe tartozik, ahol a háttérforgalomtól függetlenül kikényszeríthető.

A három keverése olyan kéréseket szül, mint bontsd a kapcsolatot harminc perc gépelés nélkül után, amit egyetlen VPN-átjáró sem tud tisztességesen megvalósítani.

Keresse meg a kapcsolatot birtokló házirendet

A beállítás keresése előtt azonosítsa az ügyfelet és a protokollt. A macOS beépített Cisco IPsec-profilja, egy natív L2TP kapcsolat és a Cisco Secure Client nem ugyanazokat a vezérlőket kínálja, és az egyikben látható bontsd-ha-tétlen jelölőnégyzet képernyőképe nem bizonyíték a többiről. A natív profilok keveset kínálnak a kiszolgálón, a fiókon és a megosztott titkon túl. Az időzítő az átjárón él.

Az ASA-n a felhasználó vagy a csoport érvényes házirendjét olvassa, ne a mindenkire vonatkozó alapértelmezett házirendet:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

A munkamenet részletei kimenet felsorolja a ténylegesen alkalmazott tétlenségi és munkamenet-korlátokat, a hátralévő idővel együtt. Ez az érvényes házirend, az öröklődéssel együtt, amit egy running-config részlet nem tud megmondani. Hasonlítsa össze azzal a csoporttal, amelyben szerinte a felhasználó van, mert a felhasználói házirend felülírja a csoportházirendet.

Miért tűnik úgy, hogy a Mac harminc perc után is kapcsolódik

A háttérforgalom a szokásos válasz, és ez nem hiba. A levél, a fotószinkronizálás, a frissítésellenőrzés, a foglalatot nyitva tartó csevegőügyfél vagy a websocketes böngészőlap mindegyike olyan csomagokat állít elő, amelyeket az átjáró tevékenységnek számol. Az alagút azért marad nyitva, mert valóban használják, csak nem ön. Ha bizonyítékot akar, a számlálókat nézze, ne a képernyőt.

A tükörkép az a munkamenet, amely gépelés közben esik el, és ez munkamenet-korlát vagy a rendszergazda házirendváltozása, nem tétlenség.

Van egy ügyféloldali hatás is, amit érdemes tudni. Egyes ügyfelek saját életben tartó vagy halott partner szondákat küldenek, és ezek a csomagok visszaállítják az átjáró tétlenségszámlálóját. Ezért működik a korlát legyőzésére hozzáadott életben tartás, és ezért rossz eszköz: megváltoztatja a bizonyítékot, amit az időzítő lát, anélkül hogy a házirend mögötti engedélyezési követelményt megváltoztatná.

A megfelelő kapcsolót változtassa meg anélkül, hogy elrontaná a célját

Ha a cél egy kapcsolattípus befejezése jóváhagyott hálózati tétlenség után, pontosan ezt kérje a házirend nyelvén, és tartsa a maximális munkamenet-hosszt külön és szándékos értékként. Utána tesztelje a rendszergazda eljárása szerint, a háttérmunkát figyelembe véve.

Ha a cél a hozzáférés megállítása, amikor valaki elhagyja az asztalt, a VPN a rossz réteg ennek kikényszerítésére.

Soha ne adjon hozzá forgalmat generáló életben tartást csak azért, hogy egy munkamenetet a befejezésére írt házirenden túl életben tartson. Ez a vezérlést formalitássá teszi, és ez ellenőrzésen derül ki, nem jegyen. Változtassa meg a házirendet, vagy változtassa meg a követelményt.