Неактивен VPN тајмер го брои сообраќајот, а не активноста на тастатурата

Тајмерот што ја исклучува неактивен VPN сесија брои пакети, а не притискање на тастатурата. Го забележува отсуството на комуникација на тунелот, така што лаптопот со пошта, резервниот агент или клиентот за разговор во позадина никогаш не изгледа неактивен. Тој еден факт ги објаснува двете насоки на вообичаената жалба: сесија што преживува долг ручек и сесија што умира среде активна работа. Одлучете со кој часовник се борите пред да тргнете во потрага по поставка.

Она што всушност го набљудува тајмерот

На Cisco ASA копчето е vpn-неактивен-време, поставено според групна политика или корисничка политика и мери период без активност на комуникација. Единицата е минути, стандардното се наследува, а проверката се извршува според сообраќајните бројачи на сесијата, а не против сѐ што оперативниот систем знае за влезните уреди. Портата нема поим дали човек е на тастатурата. Знае кога последен пат видел пакет од тој клиент.

Вториот часовник е vpn-sesion-timeout, и тој е апсолутен. Започнува кога сесијата е воспоставена и истекува без оглед на тоа колку е зафатен тунелот. Сесијата што завршува по точно еден час напорна употреба е тој тајмер, а не тајмер во мирување и никакво пишување нема да го продолжи.

Прочитајте ги двете вредности пред да ја промените едната, бидејќи тие не успеваат на начини кои изгледаат идентични од корисничкото столче.

Три различни часовници луѓето ги нарекуваат неактивен

Три неповрзани политики се опишуваат како тајмер за мирување, а само една од нив се однесува на тишината на мрежата.

Третиот ред е оној што луѓето навистина го сакаат кога велат дека VPN треба да се заклучи кога некој ќе замине. Тајмерот за VPN не може да го мери присуството. Ако условот е лаптопот без надзор да го изгуби пристапот, тоа припаѓа во политиката за заклучување екран и уред, каде што може да се примени без оглед на сообраќајот во заднина.

Мешањето на трите создава барања како исклучување по триесет минути без пишување, што ниту еден VPN портал не може искрено да го спроведе.

Најдете ја полисата што ја поседува оваа врска

Идентификувајте го клиентот и протоколот пред да барате поставка. Вградениот macOS Cisco IPsec профил, мајчин L2TP конекција и Cisco Secure Client не ги изложуваат истите контроли, а скриншот од полето за избор на исклучување-ако-неактивен во една од нив не е доказ за другите. Природните профили откриваат малку повеќе од серверот, сметката и споделената тајна. Тајмерот живее на портата.

На ASA, прочитајте ја ефективната политика за корисникот или групата наместо стандардната политика за сите:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Излезот со детали за сесијата ги наведува временските прекини на мирување и сесијата што всушност биле применети, со преостанатото време. Тоа е ефективната политика, вклучително и наследството, што не може да ви го каже извадокот од конфигурацијата за извршување. Споредете го со групата во која верувате дека корисникот е, бидејќи корисничката политика ја надминува групната политика.

Зошто вашиот Mac изгледа поврзан по триесет минути

Сообраќајот во заднина е вообичаен одговор и не е грешка. Пошта, синхронизација на фотографии, проверка на ажурирање, клиент за разговор кој држи отворен приклучок или таб на прелистувач со веб-сокет, секој произведува пакети што портата ги брои како активност. Тунелот останува отворен затоа што вистински се користи, само не од вас. Гледајте ги бројачите наместо екранот ако сакате доказ.

Огледалната слика е сесијата што се намалува додека пишувате, што е истек на сесијата или промена на политиката на администраторот, а не безделничење.

Постои и ефект од клиентот кој вреди да се знае. Некои клиенти испраќаат свои сопствени чувари или сонди со мртви врсници и тие пакети го ресетираат бројачот за мирување на портата. Тоа е причината зошто keepalive додадена за да се победи тајмаутот функционира и зошто е погрешна алатка: ги менува доказите што ги гледа тајмерот без да го промени барањето за авторизација зад полисата.

Променете го десното копче без да ја скршите неговата точка

Ако целта е да се прекине класа на поврзување по одобрената неактивност на мрежата, побарајте го токму тоа на јазикот на политиката и чувајте го максималното времетраење на сесијата како посебна и намерна вредност. Потоа тестирајте го според процедурата на администраторот со водена работа во позадина.

Ако целта е да се запре пристапот кога некое лице ја напушта работната маса, VPN е погрешен слој за да се спроведе.

Никогаш не додавајте keepalive што генерира сообраќај само за да ја одржувате сесијата жива покрај политиката напишана за да ја прекинете. Тоа ја претвора контролата во формалност и се наоѓа во ревизија наместо во билет. Променете ја политиката или сменете го условот.