アイドル状態の VPN タイマーはキーボード操作ではなくトラフィックをカウントします

アイドル状態の VPN セッションを切断するタイマーは、キーストロークではなくパケットをカウントします。トンネル上で通信が行われていないことを監視するため、バックグラウンドでメール、バックアップエージェント、またはチャットクライアントが動作しているラップトップがアイドル状態に見えることはありません。この一つの事実は、通常の不満の両方の方向、つまり、長い昼食後に存続するセッションと、アクティブな作業の途中で停止するセッションの両方を説明します。設定を探す前に、どのクロックと戦うかを決めてください。

タイマーが実際に観察するもの

Cisco ASA では、ノブは vpn-idle-timeout で、グループポリシーまたはユーザーポリシーで設定され、通信アクティビティがない期間を測定します。単位は分で、デフォルトが継承され、チェックはオペレーティングシステムが認識している入力デバイスに対してではなく、セッションのトラフィックカウンタに対して実行されます。ゲートウェイは、人間がキーボードを操作しているかどうかを知りません。そのクライアントからのパケットを最後に見たのがいつかを知っています。

二番目のクロックは vpn-session-timeout で、絶対クロックです。セッションが確立されると開始され、トンネルの混雑度に関係なく期限切れになります。ちょうど一時間の頻繁な使用後に終了するセッションは、アイドルタイマーではなくタイマーであり、いくら入力しても延長されません。

ユーザーの椅子からは同じように見えるため、どちらかを変更する前に両方の値を読んでください。

人々がアイドルと呼ぶ三つの異なる時計

三つの無関係なポリシーがアイドルタイマーとして説明されていますが、そのうちの一つだけがネットワークの沈黙に関するものです。

三行目は、誰かが立ち去ったときに VPN をロックすべきだという人が実際に望んでいる行です。VPN タイマーはプレゼンスを測定できません。無人ラップトップがアクセスを失うことが要件である場合、それは画面ロックおよびデバイスポリシーに属し、バックグラウンドトラフィックに関係なく適用できます。

この三つを混在させると、三十分間入力がなかった場合に切断するなどのリクエストが生成されますが、これを正直に実装できる VPN ゲートウェイはありません。

この接続を所有するポリシーを検索します

設定を探す前に、クライアントとプロトコルを特定してください。組み込みの macOS Cisco IPsec プロファイル、ネイティブ L2TP 接続、および Cisco Secure Client は同じコントロールを公開していません、また、そのうちの一つにあるアイドル時切断チェックボックスのスクリーンショットは、他のものに関する証拠にはなりません。ネイティブプロファイルでは、サーバー、アカウント、共有秘密以外の情報はほとんど公開されません。タイマーはゲートウェイ上にあります。

ASA で、全員のデフォルトポリシーではなく、ユーザまたはグループに有効なポリシーを読み取ります：

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

セッション詳細出力には、実際に適用されたアイドルタイムアウトとセッションタイムアウトと残り時間がリストされます。これは、継承を含む効果的なポリシーですが、実行コンフィギュレーションの抜粋ではわかりません。ユーザーポリシーはグループポリシーをオーバーライドするため、ユーザーが所属していると思われるグループと比較します。

三十分後に Mac が接続されているように見える理由

バックグラウンドトラフィックは通常の答えであり、バグではありません。メール、写真の同期、更新チェック、ソケットを開いたままにするチャットクライアント、または Web ソケットを備えたブラウザタブはそれぞれ、ゲートウェイがアクティビティとしてカウントするパケットを生成します。トンネルは、ユーザーによってではなく、実際に使用されているため、稼働したままになります。証拠が必要な場合は、画面ではなくカウンターを見てください。

ミラーイメージは、入力中に切断されるセッションです、これは、アイドル状態ではなく、セッションタイムアウトまたは管理者のポリシー変更です。

クライアント側の影響についても知っておく価値があります。一部のクライアントは独自のキープアライブまたはデッドピアプローブを送信し、それらのパケットによってゲートウェイのアイドルカウンタがリセットされます。これが、タイムアウトを無効にするために追加されたキープアライブが機能する理由であり、これが間違ったツールである理由です、ポリシーの背後にある承認要件を変更せずに、タイマーが認識する証拠を変更します。

右ノブの先端を壊さずに変更します

ネットワークの非アクティブ状態が承認された後に接続クラスを終了することが目的の場合は、ポリシー言語でそれを正確に要求し、最大セッション期間を別個の意図的な値として保持します。次に、バックグラウンド作業を考慮した管理者の手順に従ってテストします。

ユーザーが席を離れたときにアクセスを停止することが目的である場合、VPN はそれを強制するための間違った層です。

セッションを終了するために作成されたポリシーを超えてセッションを存続させるためだけに、トラフィックを生成するキープアライブを追加しないでください。これにより、コントロールが形式的なものに変換され、チケットではなく監査で発見されます。ポリシーを変更するか、要件を変更します。