En Idle VPN Timer zielt Traffic, net Tastaturaktivitéit
E Gateway Idle Timeout kuckt Päckchen um Tunnel, net Är Tastatur. Trennt Idle, Sessioun an Écran-Spär Timer ier ee vun hinnen ännert.
Den Timer, deen eng Idle VPN Sessioun trennt, zielt Pakete, net Tastekombinatiounen. Et beobachtet d'Feele vu Kommunikatioun am Tunnel, sou datt e Laptop mat Mail, e Backup-Agent oder e Chat-Client am Hannergrond ni Idle ausgesäit. Dat eent Fakt erkläert béid Richtungen vun der üblecher Plainte: eng Sessioun déi e laange Mëttegiessen iwwerlieft, an eng Sessioun déi an der Mëtt vun der aktiver Aarbecht stierft. Entscheet wéi eng Auer Dir kämpft ier Dir no engem Kader sicht.
Wat den Timer tatsächlech observéiert
Op engem Cisco ASA de Knäppche ass vpn-Idle-Timeout, ënner enger Gruppepolitik oder enger Benotzerpolitik gesat, an et moosst eng Period ouni Kommunikatiounsaktivitéit. D'Eenheet ass Minutten, de Standard ass ierflecher, an de Scheck leeft géint Verkéierszähler op der Sessioun anstatt géint alles wat de Betribssystem iwwer Input Geräter weess. De Paart huet keng Ahnung ob e Mënsch op der Tastatur ass. Et weess wéini et fir d'lescht e Paket vun deem Client gesinn huet.
Déi zweet Auer ass vpn-Sessioun-Timeout, an et ass absolut. Et fänkt un wann d'Sessioun etabléiert ass an ofleeft onofhängeg wéi beschäftegt den Tunnel ass. Eng Sessioun déi no genau enger Stonn vu schwéierem Gebrauch endet ass deen Timer, net en Idle Timer, a kee Betrag vun Tippen wäert et verlängeren.
Liest béid Wäerter ier Dir entweder ännert, well se falen op Weeër déi identesch aus dem Benotzerstull ausgesinn.
Dräi verschidde Aueren nennen d'Leit Idle
Dräi onrelatéierte Politiken ginn als den Idle Timer beschriwwen, an nëmmen ee vun hinnen ass iwwer d'Netzstil.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
Déi drëtt Zeil ass déi, déi d'Leit tatsächlech wëllen, wa se soen datt de VPN soll gespaart ginn wann iergendeen fortgeet. E VPN Timer kann d'Präsenz net moossen. Wann d'Noutwendegkeet ass datt en onkontrolléierten Laptop Zougang verléiert, dat gehéiert zu Écran-Spär an Apparat Politik, wou et kann duerchgesat ginn onofhängeg vun Hannergrond Verkéier.
D'Mëschung vun den dräi produzéiert Ufroe wéi Trennung no drësseg Minutten ouni Tippen, déi kee VPN-Paart éierlech ëmsetzen kann.
Fannt d'Politik déi dës Verbindung besëtzt
Identifizéiert de Client an de Protokoll ier Dir no engem Astellung sicht. Den agebaute macOS Cisco IPsec Profil, eng gebierteg L2TP Verbindung an Cisco Secure Client weisen net déiselwecht Kontrollen aus, an e Screenshot vun enger Disconnect-if-Idle Checkbox an engem vun hinnen ass kee Beweis iwwer déi aner. Déi gebierteg Profiler exponéieren wéineg iwwer de Server, de Kont an dat gedeelt Geheimnis. Den Timer lieft op der Paart.
Op der ASA, liest déi effektiv Politik fir de Benotzer oder de Grupp anstatt d'Standardpolitik fir jiddereen:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERD'Sessiounsdetailoutput listet d'Idle an d'Sessiounstimeouts déi tatsächlech applizéiert goufen, mat der Zäit déi bleift. Dat ass déi effektiv Politik, Ierfschaft abegraff, déi e Running-Config Extrait Iech net kann soen. Vergläicht et mat der Grupp an där Dir denkt datt de Benotzer ass, well eng Benotzerpolitik d'Gruppspolitik iwwerschreift.
Firwat Äre Mac no drësseg Minutten verbonne ausgesäit
Hannergrondverkéier ass déi üblech Äntwert, an et ass kee Feeler. E-Mail, Fotosynchroniséierung, en Updatecheck, e Chat-Client deen e Socket oppen hält, oder e Browser-Tab mat engem Websocket produzéiert all Pakete déi de Paart als Aktivitéit zielt. Den Tunnel bleift erop well et wierklech benotzt gëtt, just net vun Iech. Kuckt d'Zähler anstatt den Ecran wann Dir Beweis wëllt.
D'Spigelbild ass d'Sessioun déi fällt wärend Dir tippt, wat e Sessiouns-Timeout oder d'Politikännerung vun engem Administrateur ass, net Leedung.
Et gëtt och e Client-Nebeneffekt, deen et wäert ze wëssen. E puer Cliente schécken hir eege Keepalives oder Dead-Peer-Sonden, an déi Pakete setzen den Idle Konter vum Paart zréck. Dofir funktionnéiert e Keepalive derbäi fir en Timeout ze besiegen, a firwat et dat falscht Tool ass: et ännert d'Beweiser déi den Timer gesäit ouni d'Autorisatiounsfuerderung hannert der Politik z'änneren.
Ännert de richtege Knäppchen ouni de Punkt ze briechen
Wann d'Zil ass eng Klass vun Verbindung no genehmegt Reseau Inaktivitéit ze Enn, froen genee dat an der Politik Sprooch, an halen déi maximal Sëtzung Dauer als separat a bewosst Wäert. Test et dann ënner der Administratiounsprozedur mat Hannergrondaarbecht ausgerechent.
Wann d'Zil ass den Zougang ze stoppen wann eng Persoun de Schreifdësch verléisst, ass de VPN déi falsch Schicht fir et ëmzesetzen.
Füügt ni e Traffic-generéierende Keepalive derbäi just fir eng Sessioun lieweg ze halen laanscht eng Politik déi geschriwwe gouf fir se ofzeschléissen. Dat konvertéiert eng Kontroll an eng Formalitéit, an et gëtt an engem Audit fonnt anstatt an engem Ticket. D'Politik änneren, oder d'Ufuerderung änneren.