Անգործ VPN ժամաչափը հաշվում է երթևեկություն, ոչ ստեղնաշար
Դարպասի անգործության ժամկետը դիտում է թունելի փաթեթները, ոչ ձեր ստեղնաշարը։ Առանձնացրեք անգործության, նստաշրջանի և էկրանի կողպման ժամաչափերը նախքան դրանցից որևէ մեկը փոխելը։
Անգործ VPN նստաշրջանն անջատող ժամաչափը հաշվում է փաթեթներ, ոչ թե ստեղնաշարի սեղմումներ։ Այն դիտում է թունելում հաղորդակցության բացակայությունը, ուստի հետին պլանում փոստ, պահուստային գործակալ կամ զրույցի հաճախորդ ունեցող նոութբուքը երբեք անգործ չի թվում նրան։ Այդ մեկ փաստը բացատրում է սովորական բողոքը երկու ուղղությամբ էլ՝ նստաշրջան, որը դիմանում է երկար ճաշին, և նստաշրջան, որը մահանում է ակտիվ աշխատանքի կեսին։ Որոշեք, թե որ ժամացույցի դեմ եք պայքարում, նախքան կարգավորում փնտրելը։
Ինչ է իրականում դիտում ժամաչափը
Cisco ASA-ում բանալին vpn-idle-timeout-ն է, այն սահմանվում է խմբային կամ օգտվողի քաղաքականության ներքո և չափում է հաղորդակցական ակտիվությունից զուրկ ժամանակահատված։ Միավորը րոպեներն են, լռելյայն արժեքը ժառանգվում է, և ստուգումն անցկացվում է նստաշրջանի երթևեկության հաշվիչներով, այլ ոչ թե նրանով, ինչ օպերացիոն համակարգը գիտի մուտքային սարքերի մասին։ Դարպասը պատկերացում չունի՝ արդյոք մարդ նստած է ստեղնաշարի մոտ։ Այն գիտի, թե երբ է վերջին անգամ տեսել փաթեթ այդ հաճախորդից։
Երկրորդ ժամացույցը vpn-session-timeout-ն է, և այն բացարձակ է։ Այն սկսվում է նստաշրջանի հաստատումից և լրանում է անկախ նրանից, թե որքան զբաղված է թունելը։ Նստաշրջանը, որն ավարտվում է ծանր օգտագործման ուղիղ մեկ ժամ հետո, այդ ժամաչափն է, ոչ թե անգործության ժամաչափ, և ոչ մի քանակի մուտքագրում այն չի երկարացնի։
Կարդացեք երկու արժեքներն էլ նախքան դրանցից որևէ մեկը փոխելը, որովհետև դրանք ձախողվում են այնպես, որ օգտվողի աթոռից նույնական են թվում։
Երեք տարբեր ժամացույցներ, որոնք մարդիկ անգործություն են անվանում
Երեք անկապ քաղաքականություն նկարագրվում են որպես անգործության ժամաչափ, և դրանցից միայն մեկն է ցանցի լռության մասին։
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
Երրորդ տողն այն է, ինչ մարդիկ իրականում ուզում են, երբ ասում են, որ VPN-ը պետք է կողպվի, երբ ինչ-որ մեկը հեռանում է։ VPN-ի ժամաչափը չի կարող չափել ներկայությունը։ Եթե պահանջն այն է, որ առանց հսկողության նոութբուքը կորցնի հասանելիությունը, դա պատկանում է էկրանի կողպման և սարքի քաղաքականությանը, որտեղ այն կարող է կիրառվել անկախ հետին պլանի երթևեկությունից։
Երեքի խառնումը ծնում է այնպիսի հարցումներ, ինչպիսին է անջատել երեսուն րոպե մուտքագրումից հետո, որոնք ոչ մի VPN դարպաս չի կարող ազնվորեն իրականացնել։
Գտեք այն քաղաքականությունը, որին պատկանում է այս միացումը
Նախքան կարգավորում փնտրելը բացահայտեք հաճախորդին և արձանագրությունը։ macOS-ի ներկառուցված Cisco IPsec պրոֆիլը, բնիկ L2TP միացումը և Cisco Secure Client-ը չեն առաջարկում նույն կառավարման միջոցները, և դրանցից մեկում անգործության դեպքում անջատելու վանդակի սքրինշոթը ապացույց չէ մյուսների մասին։ Բնիկ պրոֆիլները քիչ բան են առաջարկում բացի սերվերից, հաշվից և ընդհանուր գաղտնիքից։ Ժամաչափն ապրում է դարպասի վրա։
Բոլորի համար լռելյայն քաղաքականության փոխարեն կարդացեք օգտվողի կամ խմբի գործող քաղաքականությունը:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERՆստաշրջանի մանրամասների ելքը թվարկում է փաստացի կիրառված անգործության և նստաշրջանի ժամկետները՝ մնացած ժամանակի հետ միասին։ Դա գործող քաղաքականությունն է՝ ժառանգությամբ, ինչը running-config-ի հատվածը չի կարող ձեզ ասել։ Համեմատեք այն խմբի հետ, որտեղ, ձեր կարծիքով, գտնվում է օգտվողը, որովհետև օգտվողի քաղաքականությունը գերազանցում է խմբայինին։
Ինչու ձեր Mac-ը երեսուն րոպե հետո դեռ միացված է երևում
Հետին պլանի երթևեկությունը սովորական պատասխանն է, և դա սխալ չէ։ Փոստը, լուսանկարների համաժամեցումը, թարմացումների ստուգումը, բաց վարդակ պահող զրույցի հաճախորդը կամ վեբ վարդակով դիտարկիչի ներդիրը յուրաքանչյուրը ստեղծում է փաթեթներ, որոնք դարպասը հաշվում է որպես ակտիվություն։ Թունելը բաց է մնում, որովհետև այն իսկապես օգտագործվում է, պարզապես ոչ ձեր կողմից։ Եթե ապացույց եք ուզում, նայեք հաշվիչներին, ոչ թե էկրանին։
Հայելային պատկերը նստաշրջանն է, որն ընկնում է, մինչ դուք մուտքագրում եք, և դա նստաշրջանի ժամկետ է կամ ադմինիստրատորի քաղաքականության փոփոխություն, ոչ թե անգործություն։
Կա նաև հաճախորդի կողմի էֆեկտ, որն արժե իմանալ։ Որոշ հաճախորդներ ուղարկում են իրենց սեփական կենդանության կամ մեռած գործընկերոջ զոնդերը, և այդ փաթեթները զրոյացնում են դարպասի անգործության հաշվիչը։ Այդ պատճառով ժամկետը հաղթահարելու համար ավելացված կենդանության ազդանշանը աշխատում է, և այդ պատճառով այն սխալ գործիք է՝ այն փոխում է ապացույցը, որ տեսնում է ժամաչափը, առանց փոխելու քաղաքականության հետևում գտնվող լիազորման պահանջը։
Փոխեք ճիշտ բանալին՝ չկործանելով դրա իմաստը
Եթե նպատակը հաստատված ցանցային անգործությունից հետո միացումների դասն ավարտելն է, պահանջեք հենց դա քաղաքականության լեզվով, և պահեք նստաշրջանի առավելագույն տևողությունը որպես առանձին և դիտավորյալ արժեք։ Այնուհետև փորձարկեք այն ադմինիստրատորի ընթացակարգով՝ հաշվի առնելով հետին պլանի աշխատանքը։
Եթե նպատակը մարդու՝ սեղանից հեռանալիս հասանելիությունը դադարեցնելն է, VPN-ը սխալ շերտ է դա կիրառելու համար։
Երբեք մի ավելացրեք երթևեկություն ստեղծող կենդանության ազդանշան միայն նստաշրջանը այն ավարտելու համար գրված քաղաքականությունից այն կողմ կենդանի պահելու համար։ Դա վերահսկողությունը վերածում է ձևականության, և այն հայտնաբերվում է աուդիտում, ոչ թե տոմսում։ Փոխեք քաղաքականությունը, կամ փոխեք պահանջը։