Pemasa VPN terbiar mengira trafik, bukan aktiviti papan kekunci

Pemasa yang memutuskan sambungan sesi VPN terbiar sedang mengira paket, bukan ketukan kekunci. Ia memerhatikan ketiadaan komunikasi pada terowong, jadi komputer riba dengan mel, ejen sandaran atau pelanggan sembang di latar belakang tidak pernah kelihatan melahu kepadanya. Satu fakta itu menerangkan kedua-dua arah aduan biasa: sesi yang bertahan dari makan tengah hari yang panjang, dan sesi yang mati di tengah-tengah kerja aktif. Tentukan jam yang anda lawan sebelum anda mencari tetapan.

Perkara yang sebenarnya diperhatikan oleh pemasa

Pada Cisco ASA, tombol ialah vpn-idle-timeout, ditetapkan di bawah dasar kumpulan atau dasar pengguna, dan ia mengukur tempoh tanpa aktiviti komunikasi. Unit ialah minit, lalai diwarisi dan semakan dijalankan terhadap kaunter trafik pada sesi dan bukannya terhadap apa sahaja yang diketahui oleh sistem pengendalian tentang peranti input. Pintu masuk tidak tahu sama ada manusia berada di papan kekunci. Ia tahu bila kali terakhir ia melihat paket daripada pelanggan itu.

Jam kedua ialah vpn-session-timeout, dan ia adalah mutlak. Ia bermula apabila sesi diwujudkan dan tamat tempoh tidak kira betapa sibuknya terowong itu. Sesi yang tamat selepas tepat satu jam penggunaan berat ialah pemasa itu, bukan pemasa melahu dan tiada jumlah menaip akan memanjangkannya.

Baca kedua-dua nilai sebelum anda menukar sama ada, kerana ia gagal dalam cara yang kelihatan sama dari kerusi pengguna.

Tiga jam berbeza orang panggil melahu

Tiga dasar yang tidak berkaitan digambarkan sebagai pemasa terbiar, dan hanya satu daripadanya adalah mengenai senyap rangkaian.

Baris ketiga ialah yang sebenarnya orang mahukan apabila mereka mengatakan VPN harus dikunci apabila seseorang pergi. Pemasa VPN tidak dapat mengukur kehadiran. Jika keperluan ialah komputer riba tanpa pengawasan kehilangan akses, itu termasuk dalam dasar kunci skrin dan peranti, yang mana ia boleh dikuatkuasakan tanpa mengira trafik latar belakang.

Mencampurkan ketiga-tiganya menghasilkan permintaan seperti memutuskan sambungan selepas tiga puluh minit tanpa menaip, yang tiada get laluan VPN boleh melaksanakan dengan jujur.

Cari dasar yang memiliki sambungan ini

Kenal pasti klien dan protokol sebelum anda mencari tetapan. Profil Cisco IPsec macOS terbina dalam, sambungan L2TP asli dan Cisco Secure Client tidak mendedahkan kawalan yang sama, dan tangkapan skrin kotak semak putus sambungan jika melahu dalam salah satu daripadanya bukan bukti tentang yang lain. Profil asli mendedahkan sedikit di luar pelayan, akaun dan rahsia yang dikongsi. Pemasa hidup di pintu masuk.

Pada ASA, baca dasar yang berkesan untuk pengguna atau kumpulan dan bukannya dasar lalai untuk semua orang:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Output perincian sesi menyenaraikan tamat masa melahu dan sesi yang sebenarnya digunakan, dengan baki masa. Itulah dasar yang berkesan, termasuk warisan, yang petikan konfigurasi berjalan tidak dapat memberitahu anda. Bandingkannya dengan kumpulan yang anda percaya pengguna berada, kerana dasar pengguna mengatasi dasar kumpulan.

Sebab Mac anda kelihatan bersambung selepas tiga puluh minit

Trafik latar belakang adalah jawapan biasa, dan ia bukan pepijat. Mel, penyegerakan foto, semakan kemas kini, pelanggan sembang membuka soket atau tab penyemak imbas dengan soket web setiap satu menghasilkan paket yang dikira get laluan sebagai aktiviti. Terowong tetap terjaga kerana ia benar-benar digunakan, cuma bukan oleh anda. Tonton kaunter dan bukannya skrin jika anda mahukan bukti.

Imej cermin ialah sesi yang jatuh semasa anda menaip, iaitu tamat masa sesi atau perubahan dasar pentadbir, bukan kemalasan.

Terdapat kesan sampingan pelanggan yang patut diketahui juga. Sesetengah pelanggan menghantar keepalive mereka sendiri atau probe dead-peer, dan paket tersebut menetapkan semula kaunter terbiar get laluan. Itulah sebabnya keepalive ditambahkan untuk mengalahkan tamat masa berfungsi, dan sebab ia adalah alat yang salah: ia mengubah bukti yang dilihat pemasa tanpa mengubah keperluan kebenaran di sebalik dasar.

Tukar tombol kanan tanpa memutuskan titiknya

Jika matlamatnya adalah untuk menamatkan kelas sambungan selepas ketidakaktifan rangkaian yang diluluskan, minta dengan tepat dalam bahasa dasar dan pastikan tempoh sesi maksimum sebagai nilai yang berasingan dan disengajakan. Kemudian mengujinya di bawah prosedur pentadbir dengan kerja latar belakang diambil kira.

Jika matlamatnya adalah untuk menghentikan akses apabila seseorang meninggalkan meja, VPN adalah lapisan yang salah untuk menguatkuasakannya.

Jangan sekali-kali menambah keepalive yang menjana trafik hanya untuk memastikan sesi hidup melepasi dasar yang ditulis untuk menamatkannya. Itu menukar kawalan kepada formaliti, dan ia ditemui dalam audit dan bukannya dalam tiket. Tukar dasar, atau ubah keperluan.