En inaktiv VPN-timer teller trafikk, ikke tastaturaktivitet

Tidtakeren som kobler fra en inaktiv VPN-økt, teller pakker, ikke tastetrykk. Den observerer fraværet av kommunikasjon på tunnelen, så en bærbar datamaskin med e-post, en backup-agent eller en chat-klient i bakgrunnen ser aldri uvirksom ut for den. Det ene faktum forklarer begge retninger av den vanlige klagen: en økt som overlever en lang lunsj, og en økt som dør midt i aktivt arbeid. Bestem deg for hvilken klokke du kjemper før du leter etter en innstilling.

Hva tidtakeren faktisk observerer

På en Cisco ASA er knotten vpn-idle-timeout, satt under en gruppepolicy eller en brukerpolicy, og den måler en periode uten kommunikasjonsaktivitet. Enheten er minutter, standarden er arvet, og sjekken kjører mot trafikktellere på økten i stedet for mot alt operativsystemet vet om inndataenheter. Gatewayen aner ikke om et menneske er ved tastaturet. Den vet når den sist så en pakke fra den klienten.

Den andre klokken er vpn-session-timeout, og den er absolutt. Den starter når økten er etablert og utløper uavhengig av hvor opptatt tunnelen er. En økt som avsluttes etter nøyaktig én time med mye bruk er den timeren, ikke en inaktiv timer, og ingen mengde skriving vil forlenge den.

Les begge verdiene før du endrer heller, fordi de feiler på måter som ser identiske ut fra brukerens stol.

Tre forskjellige klokker folk kaller inaktive

Tre ikke-relaterte retningslinjer blir beskrevet som inaktiv tidtaker, og bare én av dem handler om stillhet i nettverket.

Den tredje raden er den folk faktisk vil ha når de sier at VPN-en skal låses når noen går bort. En VPN-timer kan ikke måle tilstedeværelse. Hvis kravet er at en ubetjent bærbar datamaskin mister tilgang, hører det hjemme i skjermlås og enhetspolicy, der det kan håndheves uavhengig av bakgrunnstrafikk.

Blanding av de tre produserer forespørsler som frakobling etter tretti minutter uten å skrive, som ingen VPN-gateway kan implementere ærlig.

Finn policyen som eier denne forbindelsen

Identifiser klienten og protokollen før du ser etter en innstilling. Den innebygde macOS Cisco IPsec-profilen, en innebygd L2TP-tilkobling og Cisco Secure Client viser ikke de samme kontrollene, og et skjermbilde av en frakobling-hvis-idle-avmerkingsboks i en av dem er ikke bevis for de andre. De opprinnelige profilene avslører lite utover serveren, kontoen og den delte hemmeligheten. Tidtakeren bor på gatewayen.

På ASA, les den effektive policyen for brukeren eller gruppen i stedet for standardpolicyen for alle:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Sesjonsdetaljutgangen viser inaktive og økttidsavbrudd som faktisk ble brukt, med gjenværende tid. Det er den effektive policyen, inkludert arv, som et løpende konfigurasjonsutdrag ikke kan fortelle deg. Sammenlign det med gruppen du tror brukeren er i, fordi en brukerpolicy overstyrer gruppepolicyen.

Hvorfor Mac-en din ser tilkoblet ut etter tretti minutter

Bakgrunnstrafikk er det vanlige svaret, og det er ikke en feil. E-post, bildesynkronisering, en oppdateringssjekk, en chat-klient som holder en socket åpen, eller en nettleserfane med en websocket produserer hver pakker gatewayen teller som aktivitet. Tunnelen forblir oppe fordi den virkelig blir brukt, bare ikke av deg. Se tellerne i stedet for skjermen hvis du vil ha bevis.

Speilbildet er økten som faller mens du skriver, som er en tidsavbrudd for økten eller en administrators policyendring, ikke lediggang.

Det er også en klientsideeffekt verdt å vite. Noen klienter sender sine egne keepalives eller dead-peer-sonder, og disse pakkene tilbakestiller gatewayens inaktive teller. Det er derfor en keepalive lagt til for å beseire en timeout fungerer, og hvorfor det er feil verktøy: det endrer bevisene tidtakeren ser uten å endre autorisasjonskravet bak policyen.

Bytt høyre knott uten å bryte poenget med den

Hvis målet er å avslutte en tilkoblingsklasse etter godkjent nettverksinaktivitet, be om akkurat det på policyspråket, og behold maksimal øktvarighet som en separat og bevisst verdi. Test den deretter under administratorens prosedyre med bakgrunnsarbeid regnskapsført.

Hvis målet er å stoppe tilgangen når en person forlater skrivebordet, er VPN feil lag for å håndheve det.

Aldri legg til en trafikkgenererende keepalive bare for å holde en økt i live forbi en policy skrevet for å avslutte den. Det konverterer en kontroll til en formalitet, og den blir funnet i en revisjon i stedet for i en billett. Endre policyen, eller endre kravet.