Timer VPN menganggur menghitung lalu lintas, bukan papan ketik
Batas waktu menganggur gateway mengawasi paket pada terowongan, bukan papan ketik Anda. Pisahkan timer menganggur, sesi, dan kunci layar sebelum mengubah salah satunya.
Timer yang memutus sesi VPN yang menganggur menghitung paket, bukan ketukan tombol. Timer ini mengamati tidak adanya komunikasi pada terowongan, jadi laptop yang di latar belakang menjalankan surel, agen cadangan, atau klien obrolan tidak pernah terlihat menganggur olehnya. Satu fakta itu menjelaskan kedua arah keluhan biasa: sesi yang bertahan melewati makan siang panjang, dan sesi yang mati di tengah pekerjaan aktif. Putuskan jam mana yang Anda lawan sebelum mencari pengaturan.
Apa yang sebenarnya diamati timer
Pada Cisco ASA tombolnya adalah vpn-idle-timeout, diatur di bawah kebijakan grup atau kebijakan pengguna, dan mengukur periode tanpa aktivitas komunikasi. Satuannya menit, nilai bawaan diwarisi, dan pemeriksaannya berjalan terhadap penghitung lalu lintas pada sesi, bukan terhadap apa yang diketahui sistem operasi tentang perangkat masukan. Gateway tidak tahu apakah ada manusia di depan papan ketik. Gateway tahu kapan terakhir kali melihat paket dari klien itu.
Jam kedua adalah vpn-session-timeout, dan sifatnya mutlak. Jam ini mulai saat sesi dibentuk dan berakhir tanpa peduli seberapa sibuk terowongan itu. Sesi yang berakhir tepat setelah satu jam pemakaian berat adalah timer itu, bukan timer menganggur, dan tidak ada jumlah pengetikan yang akan memperpanjangnya.
Baca kedua nilai sebelum mengubah salah satunya, karena keduanya gagal dengan cara yang tampak sama dari kursi pengguna.
Tiga jam berbeda yang orang sebut menganggur
Tiga kebijakan yang tidak saling terkait disebut sebagai timer menganggur, dan hanya satu di antaranya tentang kesunyian jaringan.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
Baris ketiga adalah yang sebenarnya diinginkan orang ketika mereka mengatakan VPN harus mengunci saat seseorang pergi. Timer VPN tidak dapat mengukur kehadiran. Jika persyaratannya adalah laptop tanpa pengawasan kehilangan akses, itu tempatnya di kebijakan kunci layar dan kebijakan perangkat, tempat hal itu dapat ditegakkan terlepas dari lalu lintas latar belakang.
Mencampur ketiganya menghasilkan permintaan seperti putuskan setelah tiga puluh menit tanpa mengetik, yang tidak dapat diterapkan dengan jujur oleh gateway VPN mana pun.
Temukan kebijakan yang memiliki koneksi ini
Identifikasi klien dan protokolnya sebelum mencari pengaturan. Profil Cisco IPsec bawaan macOS, koneksi L2TP asli, dan Cisco Secure Client tidak menawarkan kontrol yang sama, dan tangkapan layar kotak centang putuskan jika menganggur pada salah satunya bukan bukti tentang yang lain. Profil asli tidak banyak menawarkan selain server, akun, dan rahasia bersama. Timer tinggal di gateway.
Pada ASA, bacalah kebijakan efektif untuk pengguna atau grup, bukan kebijakan bawaan untuk semua orang:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERKeluaran detail sesi mencantumkan batas waktu menganggur dan sesi yang benar-benar diterapkan, beserta waktu yang tersisa. Itulah kebijakan efektif, termasuk pewarisan, yang tidak dapat diberitahukan oleh kutipan running-config. Bandingkan dengan grup tempat Anda yakin pengguna berada, karena kebijakan pengguna mengalahkan kebijakan grup.
Mengapa Mac Anda tampak terhubung setelah tiga puluh menit
Lalu lintas latar belakang adalah jawaban yang biasa, dan itu bukan bug. Surel, sinkronisasi foto, pemeriksaan pembaruan, klien obrolan yang menahan soket tetap terbuka, atau tab peramban dengan soket web masing-masing menghasilkan paket yang dihitung gateway sebagai aktivitas. Terowongan tetap terbuka karena benar-benar dipakai, hanya saja bukan oleh Anda. Lihat penghitungnya, bukan layarnya, jika Anda ingin bukti.
Cerminnya adalah sesi yang jatuh saat Anda mengetik, dan itu batas waktu sesi atau perubahan kebijakan oleh administrator, bukan keadaan menganggur.
Ada juga efek di sisi klien yang perlu diketahui. Sebagian klien mengirim sinyal jaga hidup atau probe rekan mati miliknya sendiri, dan paket itu mengatur ulang penghitung menganggur gateway. Itulah sebabnya jaga hidup yang ditambahkan untuk mengalahkan batas waktu berhasil, dan itulah sebabnya itu alat yang salah: ia mengubah bukti yang dilihat timer tanpa mengubah persyaratan otorisasi di balik kebijakan.
Ubah tombol yang tepat tanpa merusak maksudnya
Jika tujuannya adalah mengakhiri kelas koneksi setelah ketidakaktifan jaringan yang disetujui, mintalah persis itu dalam bahasa kebijakan, dan pertahankan durasi sesi maksimum sebagai nilai terpisah dan disengaja. Lalu ujilah menurut prosedur administrator dengan pekerjaan latar belakang diperhitungkan.
Jika tujuannya adalah menghentikan akses saat seseorang meninggalkan meja, VPN adalah lapisan yang salah untuk menegakkannya.
Jangan pernah menambahkan jaga hidup yang menghasilkan lalu lintas hanya untuk menjaga sesi tetap hidup melewati kebijakan yang ditulis untuk mengakhirinya. Itu mengubah kontrol menjadi formalitas, dan itu ditemukan dalam audit, bukan dalam tiket. Ubah kebijakannya, atau ubah persyaratannya.