Licznik czasu bezczynności VPN zlicza ruch, a nie aktywność klawiatury

Zegar, który rozłącza bezczynną sesję VPN, zlicza pakiety, a nie naciśnięcia klawiszy. Zauważa brak komunikacji w tunelu, dzięki czemu laptop z pocztą, agentem zapasowym lub klientem czatu w tle nigdy nie wygląda na bezczynnego. Ten jeden fakt wyjaśnia oba kierunki zwykłego narzekania: sesję, która wytrzymuje długi lunch i sesję, która umiera w środku aktywnej pracy. Zdecyduj, z którym zegarem walczysz, zanim zaczniesz szukać ustawienia.

Co faktycznie obserwuje licznik czasu

W Cisco ASA pokrętło to VPN-idle-timeout, ustawiane w ramach zasad grupy lub zasad użytkownika i mierzy okres bez aktywności komunikacyjnej. Jednostką są minuty, wartość domyślna jest dziedziczona, a sprawdzanie odbywa się w oparciu o liczniki ruchu w sesji, a nie o wszystko, co system operacyjny wie o urządzeniach wejściowych. Bramka nie ma pojęcia, czy przy klawiaturze siedzi człowiek. Wie, kiedy ostatni raz widział pakiet od tego klienta.

Drugi zegar to limit czasu sesji VPN i jest on bezwzględny. Rozpoczyna się w momencie ustanowienia sesji i wygasa niezależnie od tego, jak zajęty jest tunel. Sesja, która kończy się dokładnie po godzinie intensywnego użytkowania, jest licznikiem czasu, a nie licznikiem bezczynności i żadne pisanie nie spowoduje jego wydłużenia.

Przeczytaj obie wartości, zanim którąkolwiek zmienisz, ponieważ zawodzą w sposób, który z fotela użytkownika wygląda identycznie.

Trzy różne zegary ludzie nazywają bezczynnością

Trzy niepowiązane zasady są określane jako licznik czasu bezczynności i tylko jedna z nich dotyczy wyciszenia sieci.

Trzeci rząd to ten, którego ludzie tak naprawdę chcą, gdy mówią, że VPN powinien zostać zablokowany, gdy ktoś odejdzie. Zegar VPN nie może mierzyć obecności. Jeśli wymaganiem jest utrata dostępu przez pozostawiony bez nadzoru laptop, należy to uwzględnić w zasadach dotyczących blokady ekranu i urządzenia, gdzie można to wymusić niezależnie od ruchu w tle.

Mieszanie tych trzech powoduje żądanie rozłączenia po trzydziestu minutach bez pisania, czego żadna brama VPN nie jest w stanie uczciwie wdrożyć.

Znajdź zasadę, która jest właścicielem tego połączenia

Zanim zaczniesz szukać ustawień, zidentyfikuj klienta i protokół. Wbudowany profil Cisco IPsec systemu macOS, natywne połączenie L2TP i Cisco Secure Client nie udostępniają tych samych elementów sterujących, a zrzut ekranu przedstawiający pole wyboru rozłącz w przypadku bezczynności w jednym z nich nie jest dowodem na działanie pozostałych. Profile natywne ujawniają niewiele poza serwerem, kontem i wspólnym sekretem. Timer znajduje się na bramce.

W ASA przeczytaj obowiązującą politykę dla użytkownika lub grupy, a nie domyślną politykę dla wszystkich:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Dane wyjściowe dotyczące szczegółów sesji zawierają listę faktycznie zastosowanych limitów czasu bezczynności i sesji, wraz z pozostałym czasem. To jest skuteczna polityka, łącznie z dziedziczeniem, której fragment running-config nie może ci powiedzieć. Porównaj to z grupą, do której Twoim zdaniem należy użytkownik, ponieważ zasady użytkownika zastępują zasady grupy.

Dlaczego Twój Mac wygląda na podłączony po trzydziestu minutach

Ruch w tle jest typową odpowiedzią i nie jest to błąd. Poczta, synchronizacja zdjęć, sprawdzanie aktualizacji, klient czatu z otwartym gniazdem lub karta przeglądarki z gniazdem internetowym generują pakiety, które brama liczy jako aktywność. Tunel pozostaje otwarty, ponieważ jest rzeczywiście używany, a nie przez Ciebie. Jeśli chcesz dowodu, obserwuj liczniki, a nie ekran.

Obraz lustrzany to sesja, która zostaje przerwana podczas pisania, co oznacza przekroczenie limitu czasu sesji lub zmianę zasad administratora, a nie bezczynność.

Warto poznać także efekt po stronie klienta. Niektórzy klienci wysyłają własne sondy podtrzymujące lub martwe, a pakiety te resetują licznik bezczynności bramy. Właśnie dlatego funkcja Keepalive dodana w celu pokonania przekroczenia limitu czasu działa i dlaczego jest to niewłaściwe narzędzie: zmienia dowody widziane przez licznik czasu, bez zmiany wymogu autoryzacji wynikającego z polityki.

Zmień prawe pokrętło bez przerywania tego

Jeśli celem jest zakończenie klasy połączenia po zatwierdzonym braku aktywności sieciowej, poproś o dokładnie taką informację w języku zasad i zachowaj maksymalny czas trwania sesji jako osobną i zamierzoną wartość. Następnie przetestuj go zgodnie z procedurą administratora, uwzględniając pracę w tle.

Jeśli celem jest zatrzymanie dostępu, gdy osoba odchodzi od biurka, VPN nie jest odpowiednią warstwą do egzekwowania tego.

Nigdy nie dodawaj modułu podtrzymującego generującego ruch tylko po to, aby utrzymać sesję przy życiu poza polityką napisaną w celu jej zakończenia. To sprawia, że kontrola staje się formalnością i zostaje wykryta w audycie, a nie w zgłoszeniu. Zmień zasady lub zmień wymagania.