Dīkstāves VPN taimeris uzskaita trafiku, nevis tastatūras darbības

Taimeris, kas atvieno dīkstāves VPN sesiju, skaita paketes, nevis taustiņsitienus. Tas novēro sakaru neesamību tunelī, tāpēc klēpjdators ar pastu, rezerves aģents vai tērzēšanas klients fonā nekad nešķiet dīkstāvē. Šis viens fakts izskaidro abus parastās sūdzības virzienus: sesiju, kas pārdzīvo garas pusdienas, un sesiju, kas mirst aktīva darba vidū. Pirms meklējat iestatījumu, izlemiet, ar kuru pulksteni jūs cīnāties.

Ko taimeris patiesībā ievēro

Sistēmā Cisco ASA poga ir vpn-dīkstāves taimauts, kas iestatīta saskaņā ar grupas politiku vai lietotāja politiku, un tā mēra periodu bez saziņas darbībām. Mērvienība ir minūtes, noklusējuma vērtība tiek mantota, un pārbaude tiek veikta ar trafika skaitītājiem sesijā, nevis pret jebko, ko operētājsistēma zina par ievades ierīcēm. Vārtejai nav ne jausmas, vai pie tastatūras atrodas cilvēks. Tā zina, kad pēdējo reizi redzēja paketi no šī klienta.

Otrais pulkstenis ir vpn-session-timeout, un tas ir absolūts. Tas sākas, kad sesija ir izveidota, un beidzas neatkarīgi no tā, cik noslogots ir tunelis. Sesija, kas beidzas pēc tieši vienas stundas intensīvas lietošanas, ir šis taimeris, nevis dīkstāves taimeris, un nekāda veida rakstīšana to nepagarinās.

Izlasiet abas vērtības, pirms maināt kādu no tām, jo tās neizdodas tādā veidā, kas izskatās identiski no lietotāja krēsla.

Trīs dažādi pulksteņi, kurus cilvēki sauc par dīkstāvēm

Trīs nesaistītas politikas tiek aprakstītas kā dīkstāves taimeris, un tikai viena no tām attiecas uz tīkla klusumu.

Trešā rinda ir tā, ko cilvēki patiešām vēlas, kad viņi saka, ka VPN ir jābloķē, kad kāds aiziet. VPN taimeris nevar izmērīt klātbūtni. Ja prasība ir, ka bez uzraudzības atstāts klēpjdators zaudē piekļuvi, tas attiecas uz ekrāna bloķēšanas un ierīces politiku, kur to var ieviest neatkarīgi no fona trafika.

Sajaucot šos trīs veidus, pēc trīsdesmit minūšu bezrakstīšanas tiek parādīti tādi pieprasījumi kā atvienojums, ko neviena VPN vārteja nevar godīgi īstenot.

Atrodiet politiku, kurai pieder šis savienojums

Identificējiet klientu un protokolu, pirms meklējat iestatījumu. Iebūvētais macOS Cisco IPsec profils, vietējais L2TP savienojums un Cisco Secure Client nepakļauj vienas un tās pašas vadīklas, un ekrānuzņēmums, kurā redzama izvēles rūtiņa atvienot, ja-dīkstāve vienā no tiem, nav pierādījums par citiem. Vietējie profili atklāj tikai serveri, kontu un kopīgo noslēpumu. Taimeris dzīvo vārtejā.

Vietnē ASA izlasiet lietotāja vai grupas spēkā esošo politiku, nevis noklusējuma politiku visiem:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Sesijas detalizētās informācijas izvadē ir uzskaitīti faktiski lietotie dīkstāves un sesijas noildzes, kā arī atlikušais laiks. Tā ir efektīva politika, ieskaitot mantojumu, ko nevar pateikt darbības konfigurācijas izrakstā. Salīdziniet to ar grupu, kurā, jūsuprāt, ir lietotājs, jo lietotāja politika ignorē grupas politiku.

Kāpēc jūsu Mac pēc trīsdesmit minūtēm izskatās savienots

Fona satiksme ir parastā atbilde, un tā nav kļūda. Pasts, fotoattēlu sinhronizācija, atjauninājumu pārbaude, tērzēšanas klients, kam ir atvērta ligzda, vai pārlūkprogrammas cilne ar tīmekļa ligzdu, katrs ražo paketes, kuras vārteja uzskata par darbību. Tunelis paliek augšā, jo tas tiek patiesi izmantots, tikai ne jūs. Ja vēlaties pierādījumus, skatieties skaitītājus, nevis ekrānu.

Spoguļattēls ir sesija, kas tiek pārtraukta rakstīšanas laikā, kas ir sesijas noildze vai administratora politikas izmaiņas, nevis dīkstāve.

Ir vērts zināt arī klientu ietekmi. Daži klienti nosūta savus saglabāšanas datus vai vienādranga zondes, un šīs paketes atiestata vārtejas dīkstāves skaitītāju. Tāpēc darbojas saglabāšanas funkcija, kas pievienota, lai pārvarētu taimautu, un tas ir nepareizs rīks: tas maina taimeram redzamos pierādījumus, nemainot politikas autorizācijas prasību.

Nomainiet labo pogu, nepārkāpjot tās punktu

Ja mērķis ir pārtraukt savienojuma klasi pēc apstiprinātas tīkla neaktivitātes, pieprasiet tieši to politikas valodā un saglabājiet maksimālo sesijas ilgumu kā atsevišķu un apzinātu vērtību. Pēc tam pārbaudiet to saskaņā ar administratora procedūru, ņemot vērā fona darbu.

Ja mērķis ir apturēt piekļuvi, kad persona atstāj galdu, VPN ir nepareizs slānis, lai to īstenotu.

Nekad nepievienojiet datplūsmu ģenerējošu uzturēšanu tikai tādēļ, lai saglabātu sesijas darbību pēc politikas, kas rakstīta tās izbeigšanai. Tas pārvērš kontroli par formalitāti, un to var atrast auditā, nevis biļetē. Mainiet politiku vai mainiet prasību.