유휴 VPN 타이머는 키보드 활동이 아닌 트래픽을 계산합니다

유휴 VPN 세션의 연결을 끊는 타이머는 키 입력이 아닌 패킷을 계산합니다. 터널에서 통신이 없는 것을 관찰하므로 메일이 있는 랩톱, 백업 에이전트 또는 백그라운드의 채팅 클라이언트가 유휴 상태로 보이지 않습니다. 그 한 가지 사실은 일반적인 불만의 두 가지 방향, 즉 긴 점심 시간에도 살아남는 세션과 활동적인 작업 중에 종료되는 세션을 설명합니다. 설정을 찾기 전에 어떤 시계와 싸우고 있는지 결정하십시오.

타이머가 실제로 관찰하는 것

Cisco ASA에서 노브는 vpn-idle-timeout이며 그룹 정책 또는 사용자 정책에 따라 설정되며 통신 활동이 없는 기간을 측정합니다. 단위는 분이며 기본값은 상속되며 운영 체제가 입력 장치에 대해 알고 있는 모든 항목이 아닌 세션의 트래픽 카운터에 대해 검사가 실행됩니다. 게이트웨이는 사람이 키보드 앞에 있는지 전혀 알 수 없습니다. 해당 클라이언트의 패킷을 마지막으로 본 시간을 알고 있습니다.

두 번째 시계는 VPN-session-timeout이며 절대적입니다. 세션이 설정되면 시작되고 터널 사용량에 관계없이 만료됩니다. 정확히 한시간 동안 많이 사용한 후에 종료되는 세션은 유휴 타이머가 아니라 해당 타이머이며 아무리 타이핑해도 세션이 연장되지 않습니다.

사용자 의자에서 동일하게 보이는 방식으로 실패하므로 변경하기 전에 두 값을 모두 읽으십시오.

사람들이 유휴 상태라고 부르는 세 가지 다른 시계

관련되지 않은 세 가지 정책이 유휴 타이머로 설명되며 그 중 하나만 네트워크 침묵에 관한 것입니다.

세 번째 행은 누군가가 자리를 비울 때 VPN이 잠겨야 한다고 사람들이 실제로 원하는 행입니다. VPN 타이머는 현재 상태를 측정할 수 없습니다. 무인 노트북이 액세스 권한을 잃어야 하는 경우 이는 화면 잠금 및 장치 정책에 속하며 백그라운드 트래픽에 관계없이 적용할 수 있습니다.

세 가지를 혼합하면 삼십분 동안 입력하지 않으면 연결 해제와 같은 요청이 생성되는데, 이는 어떤 VPN 게이트웨이도 정직하게 구현할 수 없습니다.

이 연결을 소유한 정책 찾기

설정을 찾기 전에 클라이언트와 프로토콜을 식별하십시오. 내장된 macOS Cisco IPsec 프로필, 기본 L2TP 연결 및 Cisco Secure Client는 동일한 컨트롤을 노출하지 않으며, 그 중 하나에 있는 유휴 시 연결 해제 확인란의 스크린샷은 다른 것에 대한 증거가 아닙니다. 기본 프로필은 서버, 계정 및 공유 비밀 외에는 거의 노출되지 않습니다. 타이머는 게이트웨이에 있습니다.

ASA에서는 모든 사람에 대한 기본 정책이 아닌 사용자 또는 그룹에 대한 유효한 정책을 읽습니다:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

세션 세부 정보 출력에는 실제로 적용된 유휴 및 세션 시간 초과가 남은 시간과 함께 나열됩니다. 이는 실행 중인 구성 발췌 내용에서 알 수 없는 상속이 포함된 효과적인 정책입니다. 사용자 정책이 그룹 정책보다 우선하므로 사용자가 속해 있다고 생각하는 그룹과 비교하세요.

삼십분 후에 Mac이 연결된 것처럼 보이는 이유

백그라운드 트래픽이 일반적인 답변이며 버그가 아닙니다. 메일, 사진 동기화, 업데이트 확인, 소켓을 열어 놓은 채팅 클라이언트 또는 웹 소켓이 있는 브라우저 탭은 각각 게이트웨이가 활동으로 간주하는 패킷을 생성합니다. 터널은 당신이 아닌 실제로 사용되고 있기 때문에 계속 작동합니다. 증거를 원한다면 화면보다는 카운터를 보십시오.

미러 이미지는 입력하는 동안 삭제되는 세션으로, 유휴 상태가 아니라 세션 시간 초과 또는 관리자의 정책 변경입니다.

알아야 할 클라이언트 측 효과도 있습니다. 일부 클라이언트는 자신의 Keepalive 또는 Dead-Peer 프로브를 보내고 해당 패킷은 게이트웨이의 유휴 카운터를 재설정합니다. 그렇기 때문에 시간 초과를 방지하기 위해 추가된 연결 유지가 작동하고 잘못된 도구인 이유입니다, 정책 뒤에 있는 인증 요구 사항을 변경하지 않고 타이머가 보는 증거를 변경합니다.

포인트를 손상시키지 않고 오른쪽 손잡이를 변경하세요

승인된 네트워크 비활성 후 연결 클래스를 종료하는 것이 목표인 경우 정책 언어로 정확히 이를 요청하고 최대 세션 기간을 별도의 의도적인 값으로 유지하십시오. 그런 다음 백그라운드 작업을 고려하여 관리자의 절차에 따라 테스트하십시오.

사람이 자리를 떠날 때 액세스를 중지하는 것이 목표라면 VPN은 이를 시행하기에 잘못된 계층입니다.

세션을 종료하기 위해 작성된 정책 이후에도 세션을 활성 상태로 유지하기 위해 트래픽을 생성하는 연결 유지를 추가하지 마십시오. 이는 제어를 형식으로 변환하고 티켓이 아닌 감사에서 발견됩니다. 정책을 변경하거나 요구사항을 변경하세요.