Neveikiantis VPN laikmatis skaičiuoja srautą, o ne klaviatūros veiklą
Šliuzo tuščiosios eigos skirtasis laikas stebi paketus tunelyje, o ne klaviatūrą. Prieš keisdami bet kurį iš jų, atskirkite neaktyvumo, seanso ir ekrano užrakto laikmačius.
Laikmatis, atjungiantis neaktyvią VPN seansą, skaičiuoja paketus, o ne klavišų paspaudimus. Jis pastebi, kad tunelyje nėra ryšio, todėl nešiojamasis kompiuteris su paštu, atsarginis agentas arba pokalbių klientas niekada neatrodo nenaudojamas. Tas vienas faktas paaiškina abi įprasto skundo kryptis: seansą, kuris išgyvena ilgus pietus, ir seansą, kuris miršta vidury aktyvaus darbo. Prieš pradėdami ieškoti nustatymo, nuspręskite, su kuriuo laikrodžiu kovojate.
Ką laikmatis iš tikrųjų stebi
„Cisco ASA“ rankenėlė yra „vpn-idle-timeout“, nustatyta pagal grupės arba vartotojo politiką, ir ji matuoja laikotarpį be ryšio veiklos. Vienetas yra minutės, numatytoji vertė yra paveldima, o tikrinimas vykdomas pagal seanso srauto skaitiklius, o ne pagal bet ką, ką operacinė sistema žino apie įvesties įrenginius. Vartai neįsivaizduoja, ar prie klaviatūros yra žmogus. Ji žino, kada paskutinį kartą matė to kliento paketą.
Antrasis laikrodis yra vpn-session-timeout, ir jis yra absoliutus. Jis prasideda, kai nustatomas seansas, ir baigiasi neatsižvelgiant į tunelio užimtumą. Sesija, kuri baigiasi po lygiai vienos valandos intensyvaus naudojimo, yra tas laikmatis, o ne tuščiosios eigos laikmatis, ir joks spausdinimas jo nepratęs.
Perskaitykite abi reikšmes prieš keisdami, nes jos nepavyksta taip, kad iš vartotojo kėdės atrodo identiškai.
Trys skirtingi laikrodžiai, kuriuos žmonės vadina tuščiąja eiga
Trys nesusijusios strategijos apibūdinamos kaip tuščiosios eigos laikmatis, ir tik viena iš jų susijusi su tinklo tyla.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
Trečioji eilutė yra ta, kurios žmonės iš tikrųjų nori sakydami, kad VPN turėtų užsiblokuoti, kai kas nors nueina. VPN laikmatis negali išmatuoti buvimo. Jei reikalaujama, kad neprižiūrimas nešiojamas kompiuteris prarastų prieigą, tai priklauso ekrano užrakto ir įrenginio politikai, kur tai gali būti taikoma neatsižvelgiant į foninį srautą.
Sumaišius tris, gaunamos užklausos, pvz, , atsijungimas po trisdešimties minučių neįvedimo, o to negali sąžiningai įgyvendinti joks VPN šliuzas.
Raskite politiką, kuriai priklauso šis ryšys
Prieš ieškodami nustatymo, nustatykite klientą ir protokolą. Integruotas „macOS Cisco IPsec“ profilis, vietinis L2TP ryšys ir „Cisco Secure Client“ neatskleidžia tų pačių valdiklių, o viename iš jų esantis žymės langelio „atjungti, jei nenaudojamas“ ekrano kopija nėra įrodymas apie kitus. Vietiniai profiliai atskleidžia tik serverį, paskyrą ir bendrą paslaptį. Laikmatis gyvena vartuose.
ASA perskaitykite efektyvią naudotojo ar grupės politiką, o ne numatytąją politiką visiems:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERIšsamios seanso informacijos išvestyje pateikiami iš tikrųjų taikomi neveiklumo ir seanso skirtieji laikotarpiai su likusiu laiku. Tai yra veiksminga politika, įskaitant paveldėjimą, kurios veikimo konfigūracijos ištrauka negali pasakyti. Palyginkite ją su grupe, kuriai, jūsų manymu, priklauso vartotojas, nes naudotojo strategija viršija grupės politiką.
Kodėl jūsų „Mac“ atrodo prijungtas po trisdešimties minučių
Foninis srautas yra įprastas atsakymas, ir tai nėra klaida. Paštas, nuotraukų sinchronizavimas, naujinimų patikra, pokalbių klientas, turintis atidarytą lizdą, arba naršyklės skirtukas su žiniatinklio lizdu, kiekvienas gamina paketus, kuriuos šliuzas skaičiuoja kaip veiklą. Tunelis išlieka, nes juo tikrai naudojatės, tik ne jūs. Jei norite įrodymų, žiūrėkite skaitiklius, o ne ekraną.
Veidrodinis vaizdas yra seansas, kuris nutrūksta renkant tekstą, o tai yra seanso skirtasis laikas arba administratoriaus politikos pakeitimas, o ne neveiklumas.
Verta žinoti ir kliento šalutinį poveikį. Kai kurie klientai siunčia savo saugojimo duomenis arba negyvų partnerių zondus, o tie paketai iš naujo nustato šliuzo tuščiosios eigos skaitiklį. Štai kodėl veikia laikmatis, pridėtas siekiant nugalėti skirtąjį laiką, ir kodėl tai yra netinkamas įrankis: jis pakeičia laikmačio matomus įrodymus, nepakeisdamas politikoje numatyto leidimo reikalavimo.
Pakeiskite dešinę rankenėlę nepažeisdami jos esmės
Jei tikslas yra nutraukti ryšio klasę po patvirtinto tinklo neveiklumo, paprašykite tiksliai to nurodyti politikos kalba, o maksimalią seanso trukmę palikite kaip atskirą ir apgalvotą reikšmę. Tada išbandykite jį pagal administratoriaus procedūrą su fono darbu.
Jei tikslas yra sustabdyti prieigą, kai asmuo palieka stalą, VPN yra netinkamas lygis tai įgyvendinti.
Niekada nepridėkite srautą generuojančių elementų, skirtų tik tam, kad seansas išliktų gyvas pasibaigus strategijai, kuri buvo parašyta siekiant ją užbaigti. Tai paverčia kontrolę formalumu ir ji randama audito metu, o ne biliete. Pakeiskite politiką arba pakeiskite reikalavimą.