უმოქმედო VPN ტაიმერი ითვლის ტრაფიკს და არა კლავიატურის აქტივობას
კარიბჭის უმოქმედო დროის ამოწურვა უყურებს პაკეტებს გვირაბზე და არა თქვენს კლავიატურაზე. გამოყავით უმოქმედო, სესიის და ეკრანის დაბლოკვის ტაიმერი რომელიმე მათგანის შეცვლამდე.
ტაიმერი, რომელიც წყვეტს უმოქმედო VPN სესიას, ითვლის პაკეტებს და არა კლავიშებს. ის აკვირდება გვირაბზე კომუნიკაციის არარსებობას, ამიტომ ლეპტოპი ფოსტით, სარეზერვო აგენტით ან ჩეთის კლიენტით ფონზე არასოდეს გამოიყურება უსაქმური. ეს ერთი ფაქტი ხსნის ჩვეულებრივი ჩივილის ორივე მიმართულებას: სეანსს, რომელიც გადარჩება ხანგრძლივ ლანჩს და სეანსს, რომელიც კვდება აქტიური მუშაობის შუაგულში. გადაწყვიტეთ რომელ საათს ებრძვით, სანამ პარამეტრის ძებნას აპირებთ.
რასაც ტაიმერი რეალურად აკვირდება
Cisco ASA-ზე ღილაკი არის vpn-idle-timeout, მითითებულია ჯგუფის პოლიტიკის ან მომხმარებლის პოლიტიკის მიხედვით და ის ზომავს პერიოდს საკომუნიკაციო აქტივობის გარეშე. ერთეული არის წუთები, ნაგულისხმევი არის მემკვიდრეობითი, და შემოწმება გადის სესიაზე ტრაფიკის მრიცხველებთან, ვიდრე იმ ყველაფრის წინააღმდეგ, რაც ოპერაციულმა სისტემამ იცის შეყვანის მოწყობილობების შესახებ. კარიბჭეს წარმოდგენა არ აქვს, არის თუ არა ადამიანი კლავიატურაზე. მან იცის ბოლოს როდის ნახა პაკეტი ამ კლიენტისგან.
მეორე საათი არის vpn-session-timeout და ის აბსოლუტურია. ის იწყება სესიის დამყარებისთანავე და იწურება იმისდა მიუხედავად, თუ რამდენად დატვირთულია გვირაბი. სესია, რომელიც მთავრდება ზუსტად ერთი საათის მძიმე გამოყენების შემდეგ, არის ის ტაიმერი და არა უმოქმედო ტაიმერი, და არცერთი აკრეფა არ გაახანგრძლივებს მას.
წაიკითხეთ ორივე მნიშვნელობა, სანამ რომელიმეს შეცვლით, რადგან ისინი ვერ გამოიყურებიან ისე, რომ იდენტურია მომხმარებლის სკამიდან.
სამ განსხვავებულ საათს ხალხი უსაქმურს უწოდებს
სამი ურთიერთდაკავშირებული პოლიტიკა აღწერილია, როგორც უმოქმედო ტაიმერი, და მხოლოდ ერთი მათგანი ეხება ქსელის დუმილს.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
მესამე რიგი არის ის, რაც ხალხს ნამდვილად სურს, როდესაც ამბობენ, რომ VPN უნდა დაიბლოკოს, როდესაც ვინმე მიდის. VPN ტაიმერი ვერ გაზომავს ყოფნას. თუ მოთხოვნაა, რომ უყურადღებო ლეპტოპმა დაკარგოს წვდომა, ეს ეხება ეკრანის დაბლოკვისა და მოწყობილობის პოლიტიკას, სადაც ის შეიძლება განხორციელდეს ფონური ტრაფიკის მიუხედავად.
სამის შერევა წარმოშობს ისეთ მოთხოვნებს, როგორიცაა გათიშვა აკრეფის გარეშე ოცდაათი წუთის შემდეგ, რასაც ვერც ერთი VPN კარიბჭე ვერ განახორციელებს გულწრფელად.
იპოვეთ პოლიტიკა, რომელიც ფლობს ამ კავშირს
დაადგინეთ კლიენტი და პროტოკოლი, სანამ პარამეტრს ეძებთ. ჩაშენებული macOS Cisco IPsec პროფილი, მშობლიური L2TP კავშირი და Cisco Secure Client არ ამჟღავნებს ერთსა და იმავე კონტროლს და ერთ-ერთ მათგანში გათიშვის-თუ უმოქმედობის ველის ეკრანის ანაბეჭდი არ არის მტკიცებულება სხვების შესახებ. მშობლიური პროფილები სერვერის, ანგარიშის და საერთო საიდუმლოების მიღმა ცოტას ავლენს. ტაიმერი ცხოვრობს კარიბჭეზე.
ASA-ზე წაიკითხეთ ეფექტური პოლიტიკა მომხმარებლის ან ჯგუფისთვის, ვიდრე ყველასთვის ნაგულისხმევი პოლიტიკა:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERსესიის დეტალების გამომავალი ჩამოთვლილია უმოქმედო და სესიის დროის ამოწურვა, რომლებიც რეალურად იქნა გამოყენებული და დარჩენილი დრო. ეს არის ეფექტური პოლიტიკა, მათ შორის მემკვიდრეობა, რომელსაც გაშვებული კონფიგურაციის ამონაწერი ვერ გეტყვით. შეადარეთ ის იმ ჯგუფს, რომელშიც ფიქრობთ, რომ მომხმარებელი იმყოფება, რადგან მომხმარებლის პოლიტიკა არღვევს ჯგუფის პოლიტიკას.
რატომ გამოიყურება თქვენი Mac დაკავშირებული ოცდაათი წუთის შემდეგ
ფონური ტრაფიკი ჩვეულებრივი პასუხია და ეს არ არის შეცდომა. ფოსტა, ფოტოების სინქრონიზაცია, განახლების შემოწმება, ჩეთის კლიენტი, რომელსაც აქვს სოკეტი ღია, ან ბრაუზერის ჩანართი ვებსოკეტით, თითოეული აწარმოებს პაკეტებს, რომლებსაც კარიბჭე ითვლის აქტივობად. გვირაბი დგას, რადგან ის ნამდვილად გამოიყენება და არა თქვენ მიერ. უყურე მრიცხველებს და არა ეკრანს, თუ მტკიცებულება გინდა.
სარკისებური გამოსახულება არის სესია, რომელიც იკლებს აკრეფის დროს, რაც არის სესიის დროის ამოწურვა ან ადმინისტრატორის პოლიტიკის ცვლილება და არა უმოქმედობა.
ასევე არსებობს კლიენტის გვერდითი ეფექტი, რომლის ცოდნაც ღირს. ზოგიერთი კლიენტი აგზავნის საკუთარ შენახვის ან მკვდარი თანატოლების ზონდებს და ეს პაკეტები აღადგენს კარიბჭის უმოქმედო მრიცხველს. სწორედ ამიტომ მუშაობს დროის ამოწურვის დასამარცხებლად დამატებული keepalive და რატომ არის ის არასწორი ინსტრუმენტი: ის ცვლის მტკიცებულებებს, რომლებსაც ტაიმერი ხედავს პოლიტიკის მიღმა ავტორიზაციის მოთხოვნის შეცვლის გარეშე.
შეცვალეთ მარჯვენა ღილაკი წერტილის გატეხვის გარეშე
თუ მიზანი არის კავშირის კლასის დასრულება ქსელის დამტკიცებული უმოქმედობის შემდეგ, მოითხოვეთ ზუსტად ის პოლიტიკის ენაზე და შეინახეთ სესიის მაქსიმალური ხანგრძლივობა ცალკე და მიზანმიმართულად. შემდეგ შეამოწმეთ იგი ადმინისტრატორის პროცედურით, ფონური სამუშაოს გათვალისწინებით.
თუ მიზანი არის წვდომის შეწყვეტა, როდესაც ადამიანი ტოვებს სამუშაო მაგიდას, VPN არის არასწორი ფენა მის გასაძლიერებლად.
არასოდეს დაამატოთ ტრაფიკის წარმომქმნელი keepalive მხოლოდ იმისთვის, რომ შენარჩუნდეს სესია მის დასასრულებლად დაწერილ პოლიტიკაზე. ეს კონტროლს ფორმალობად აქცევს და ის ხვდება აუდიტში და არა ბილეთში. შეცვალეთ პოლიტიკა, ან შეცვალეთ მოთხოვნა.