Een inactieve VPN-timer telt het verkeer, niet de toetsenbordactiviteit

De timer die de verbinding met een inactieve VPN-sessie verbreekt, telt pakketten, geen toetsaanslagen. Het constateert de afwezigheid van communicatie in de tunnel, zodat een laptop met mail, een back-upagent of een chatclient op de achtergrond nooit stil blijft staan. Dat ene feit verklaart beide richtingen van de gebruikelijke klacht: een sessie die een lange lunch overleeft, en een sessie die sterft midden in actief werk. Bepaal met welke klok je vecht voordat je op zoek gaat naar een instelling.

Wat de timer feitelijk waarneemt

Op een Cisco ASA is de knop vpn-idle-timeout, ingesteld onder een groepsbeleid of een gebruikersbeleid, en meet een periode zonder communicatieactiviteit. De eenheid bedraagt minuten, de standaardwaarde wordt overgenomen en de controle wordt uitgevoerd op basis van verkeerstellers in de sessie in plaats van op basis van alles wat het besturingssysteem weet over invoerapparaten. De gateway heeft geen idee of er een mens aan het toetsenbord zit. Het weet wanneer het voor het laatst een pakket van die client heeft gezien.

De tweede klok is vpn-sessie-time-out en is absoluut. De sessie begint wanneer de sessie tot stand is gebracht en eindigt ongeacht hoe druk de tunnel is. Een sessie die eindigt na precies een uur intensief gebruik is die timer, geen inactieve timer, en geen enkele hoeveelheid typen zal deze verlengen.

Lees beide waarden voordat u ze wijzigt, omdat ze falen op manieren die er vanuit de stoel van de gebruiker identiek uitzien.

Drie verschillende klokken die mensen inactief noemen

Drie niet-gerelateerde beleidsregels worden beschreven als de inactieve timer, en slechts één ervan gaat over netwerkstilte.

De derde rij is degene die mensen eigenlijk willen als ze zeggen dat de VPN moet worden vergrendeld als iemand wegloopt. Een VPN-timer kan de aanwezigheid niet meten. Als de vereiste is dat een onbeheerde laptop de toegang verliest, hoort dat thuis in het schermvergrendelings- en apparaatbeleid, waar dit kan worden afgedwongen, ongeacht het achtergrondverkeer.

Het combineren van de drie levert verzoeken op zoals het verbreken van de verbinding na dertig minuten niet typen, wat geen enkele VPN-gateway eerlijk kan implementeren.

Zoek het beleid dat eigenaar is van deze verbinding

Identificeer de client en het protocol voordat u naar een instelling zoekt. Het ingebouwde macOS Cisco IPsec-profiel, een native L2TP-verbinding en Cisco Secure Client bieden niet dezelfde bedieningselementen, en een screenshot van een selectievakje bij inactiviteit verbreken in een van deze is geen bewijs voor de andere. De native profielen onthullen weinig buiten de server, het account en het gedeelde geheim. De timer bevindt zich op de gateway.

Lees op de ASA het effectieve beleid voor de gebruiker of groep in plaats van het standaardbeleid voor iedereen:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

In de sessiedetailuitvoer worden de time-outs voor inactiviteit en sessies weergegeven die daadwerkelijk zijn toegepast, met de resterende tijd. Dat is het effectieve beleid, inclusief overerving, dat een fragment van de actieve configuratie u niet kan vertellen. Vergelijk het met de groep waarvan u denkt dat de gebruiker zich bevindt, omdat een gebruikersbeleid het groepsbeleid overschrijft.

Waarom uw Mac er na dertig minuten verbonden uitziet

Achtergrondverkeer is het gebruikelijke antwoord en het is geen bug. E-mail, fotosynchronisatie, een updatecontrole, een chatclient die een socket open houdt of een browsertabblad met een websocket produceren allemaal pakketten die de gateway als activiteit telt. De tunnel blijft staan omdat hij daadwerkelijk gebruikt wordt, maar niet door jou. Kijk naar de tellers in plaats van naar het scherm als je bewijs wilt.

Het spiegelbeeld is de sessie die wegvalt terwijl u aan het typen bent, Dit is een sessietime-out of een beleidswijziging van een beheerder, en geen nietsdoen.

Er is ook een client-bijeffect dat de moeite waard is om te weten. Sommige clients sturen hun eigen keepalives of dead-peer-probes, en die pakketten resetten de inactieve teller van de gateway. Dat is de reden waarom een keepalive die is toegevoegd om een time-out te omzeilen, werkt, en waarom het het verkeerde hulpmiddel is: het verandert het bewijsmateriaal dat de timer ziet zonder de autorisatievereiste achter het beleid te veranderen.

Verander de rechterknop zonder de punt ervan te breken

Als het doel is om een verbindingsklasse te beëindigen na goedgekeurde netwerkinactiviteit, vraag dan precies dat in de beleidstaal en houd de maximale sessieduur als een afzonderlijke en bewuste waarde. Test het vervolgens volgens de beheerdersprocedure, waarbij rekening wordt gehouden met achtergrondwerk.

Als het doel is om de toegang te stoppen wanneer iemand het bureau verlaat, is de VPN de verkeerde laag om dit af te dwingen.

Voeg nooit een verkeergenererende keepalive toe alleen maar om een sessie levend te houden, voorbij een beleid dat is geschreven om deze te beëindigen. Dat maakt van een controle een formaliteit en wordt eerder in een audit dan in een ticket teruggevonden. Wijzig het beleid of wijzig de vereiste.