Aðgerðalaus VPN-tímamælir telur umferð, ekki lyklaborð

Tímamælirinn sem aftengir aðgerðalausa VPN-setu telur pakka, ekki lyklalykla. Hann fylgist með skorti á samskiptum í göngunum, svo fartölva með pósti, öryggisafritunarefni eða spjallforriti í bakgrunni virðist honum aldrei aðgerðalaus. Þessi eina staðreynd útskýrir báðar áttir hinnar venjulegu kvörtunar: setu sem lifir langt hádegismat og setu sem deyr í miðri virkri vinnu. Ákveddu við hvaða klukku þú berst áður en þú ferð að leita að stillingu.

Hvað tímamælirinn fylgist í raun með

Á Cisco ASA er hnappurinn vpn-idle-timeout, hann er stilltur undir hópstefnu eða notendastefnu og mælir tímabil án samskiptavirkni. Einingin er mínútur, sjálfgefið gildi er erft og prófunin keyrir á móti umferðarteljurum setunnar en ekki á móti því sem stýrikerfið veit um inntakstæki. Gáttin hefur ekki hugmynd um hvort maður situr við lyklaborðið. Hún veit hvenær hún sá síðast pakka frá þeim viðskiptavini.

Seinni klukkan er vpn-session-timeout og hún er alger. Hún byrjar þegar setan er stofnuð og rennur út óháð því hversu upptekin göngin eru. Seta sem endar eftir nákvæmlega klukkustund af mikilli notkun er sá tímamælir, ekki aðgerðaleysis-tímamælir, og ekkert magn af innslætti framlengir hana.

Lestu bæði gildin áður en þú breytir öðru þeirra, því þau bila á þann hátt sem virðist eins frá stól notandans.

Þrjár mismunandi klukkur sem fólk kallar aðgerðaleysi

Þrjár ótengdar stefnur eru kallaðar aðgerðaleysis-tímamælirinn og aðeins ein þeirra snýst um þögn netsins.

Þriðja röðin er það sem fólk vill í raun þegar það segir að VPN eigi að læsast þegar einhver gengur burt. VPN-tímamælir getur ekki mælt nærveru. Ef krafan er að ógætt fartölva tapi aðgangi, á það heima í stefnu um skjálæsingu og tæki, þar sem hægt er að framfylgja því óháð bakgrunnsumferð.

Að blanda þremur saman skapar beiðnir eins og aftengdu eftir þrjátíu mínútur án innsláttar, sem engin VPN-gátt getur innleitt heiðarlega.

Finndu stefnuna sem á þessa tengingu

Greindu viðskiptavininn og samskiptareglurnar áður en þú leitar að stillingu. Innbyggt Cisco IPsec-snið macOS, innfædd L2TP-tenging og Cisco Secure Client bjóða ekki sömu stýringar, og skjáskot af aftengdu-ef-aðgerðalausri haki í einu þeirra er ekki sönnun um hin. Innfæddu sniðin bjóða lítið umfram þjóninn, reikninginn og sameiginlega leyndarmálið. Tímamælirinn býr í gáttinni.

Á ASA skaltu lesa gildandi stefnu fyrir notandann eða hópinn í stað sjálfgefinnar stefnu fyrir alla:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Úttak setuupplýsinga telur upp aðgerðaleysis- og setutímamörkin sem voru í raun beitt, ásamt tímanum sem eftir er. Það er gildandi stefnan, þar með talin arfleifð, sem brot úr running-config getur ekki sagt þér. Berðu hana saman við hópinn sem þú telur notandann vera í, því notendastefna gengur framar hópstefnu.

Af hverju Macinn þinn virðist tengdur eftir þrjátíu mínútur

Bakgrunnsumferð er venjulega svarið og það er ekki galli. Póstur, myndasamstilling, uppfærsluathugun, spjallforrit sem heldur sokk opnum eða vafraflipi með vefsokk framleiða hvert um sig pakka sem gáttin telur virkni. Göngin haldast opin vegna þess að verið er að nota þau í raun, bara ekki af þér. Horfðu á teljarana frekar en skjáinn ef þú vilt sönnun.

Spegilmyndin er setan sem fellur meðan þú slærð inn, og það er setutímamark eða stefnubreyting kerfisstjóra, ekki aðgerðaleysi.

Það er líka áhrif á viðskiptavinahlið sem er þess virði að þekkja. Sumir viðskiptavinir senda sín eigin lífsskynboð eða könnun dauðs jafningja, og þessir pakkar endurstilla aðgerðaleysisteljara gáttarinnar. Þess vegna virkar lífsskynboð sem bætt er við til að vinna á tímamarki og þess vegna er það rangt tæki: það breytir sönnuninni sem tímamælirinn sér án þess að breyta heimildarkröfunni bak við stefnuna.

Breyttu rétta hnappnum án þess að eyðileggja tilgang hans

Ef markmiðið er að enda flokk tenginga eftir samþykkt netaðgerðaleysi skaltu biðja um nákvæmlega það á tungumáli stefnunnar og halda hámarkssetulengd sem sérstöku og viljandi gildi. Prófaðu það síðan samkvæmt verklagi kerfisstjórans með bakgrunnsvinnuna reiknaða inn.

Ef markmiðið er að stöðva aðgang þegar einhver yfirgefur skrifborðið er VPN rangt lagið til að framfylgja því.

Bættu aldrei við umferðarframleiðandi lífsskynboði eingöngu til að halda setu lifandi fram yfir stefnu sem skrifuð er til að enda hana. Það gerir stýringu að formsatriði og það finnst í úttekt frekar en í miða. Breyttu stefnunni, eða breyttu kröfunni.