Un temporizator VPN inactiv contorizează traficul, nu activitatea de la tastatură

Cronometrul care deconectează o sesiune VPN inactivă numără pachetele, nu apăsările de taste. Observă absența comunicării pe tunel, astfel încât un laptop cu e-mail, un agent de rezervă sau un client de chat în fundal nu pare niciodată inactiv pentru acesta. Acest fapt explică ambele direcții ale plângerii obișnuite: o sesiune care supraviețuiește unui prânz lung și o sesiune care moare în mijlocul muncii active. Decideți cu ce ceas vă luptați înainte de a căuta o setare.

Ceea ce cronometrul observă de fapt

Pe un Cisco ASA, butonul este vpn-idle-timeout, setat conform unei politici de grup sau a unei politici de utilizator și măsoară o perioadă fără activitate de comunicare. Unitatea este de minute, valoarea implicită este moștenită, iar verificarea se execută pe contoarele de trafic din sesiune, mai degrabă decât cu orice știe sistemul de operare despre dispozitivele de intrare. Gateway-ul nu are idee dacă un om se află la tastatură. Știe când a văzut ultima dată un pachet de la acel client.

Al doilea ceas este vpn-session-timeout și este absolut. Începe când sesiunea este stabilită și expiră indiferent de cât de ocupat este tunelul. O sesiune care se încheie după exact o oră de utilizare intensă este acel cronometru, nu un temporizator inactiv și nicio cantitate de tastare nu o va prelungi.

Citiți ambele valori înainte de a modifica oricare dintre ele, deoarece ele eșuează în moduri care arată identice din scaunul utilizatorului.

Trei ceasuri diferite pe care oamenii le numesc inactiv

Trei politici care nu au legătură sunt descrise ca temporizator inactiv și doar una dintre ele este despre liniștea rețelei.

Al treilea rând este cel pe care oamenii îl doresc de fapt atunci când spun că VPN-ul ar trebui să se blocheze atunci când cineva pleacă. Un temporizator VPN nu poate măsura prezența. Dacă cerința este ca un laptop nesupravegheat să piardă accesul, aceasta aparține politicii de blocare a ecranului și a dispozitivelor, unde poate fi aplicată indiferent de traficul de fundal.

Amestecarea celor trei produce solicitări precum deconectarea după treizeci de minute de lipsă de tastare, pe care niciun gateway VPN nu le poate implementa sincer.

Găsiți politica care deține această conexiune

Identificați clientul și protocolul înainte de a căuta o setare. Profilul macOS Cisco IPsec încorporat, o conexiune L2TP nativă și Cisco Secure Client nu expun aceleași controale, iar o captură de ecran a casetei de selectare deconectare dacă este inactiv într-una dintre ele nu este o dovadă despre celelalte. Profilurile native expun puțin dincolo de server, de cont și de secretul partajat. Cronometrul trăiește pe gateway.

Pe ASA, citiți politica efectivă pentru utilizator sau grup, mai degrabă decât politica implicită pentru toată lumea:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Ieșirea cu detaliile sesiunii listează intervalele de inactivitate și de sesiune care au fost aplicate efectiv, cu timpul rămas. Aceasta este politica eficientă, moștenirea inclusă, pe care un fragment de configurare în execuție nu ți-o poate spune. Comparați-l cu grupul în care credeți că se află utilizatorul, deoarece o politică de utilizator înlocuiește politica de grup.

De ce Mac-ul tău pare conectat după treizeci de minute

Traficul de fundal este răspunsul obișnuit și nu este o eroare. E-mailul, sincronizarea fotografiilor, o verificare a actualizării, un client de chat care ține un socket deschis sau o filă de browser cu o socket web produc fiecare pachete pe care gateway-ul le consideră ca activitate. Tunelul rămâne sus pentru că este folosit cu adevărat, dar nu de către tine. Urmăriți contoarele, mai degrabă decât ecranul, dacă doriți dovezi.

Imaginea în oglindă este sesiunea care scade în timp ce tastați, care este o expirare a sesiunii sau o modificare a politicii unui administrator, nu inactivitate.

Există și un efect secundar al clientului care merită cunoscut. Unii clienți își trimit propriile livelive sau probe dead-peer, iar acele pachete resetează contorul inactiv al gateway-ului. Acesta este motivul pentru care un keepalive adăugat pentru a învinge un timeout funcționează și de ce este instrumentul greșit: schimbă dovezile pe care le vede cronometrul fără a modifica cerința de autorizare din spatele politicii.

Schimbați butonul din dreapta fără a rupe punctul său

Dacă scopul este de a încheia o clasă de conexiune după inactivitatea rețelei aprobată, solicitați exact asta în limbajul politicii și păstrați durata maximă a sesiunii ca valoare separată și deliberată. Apoi testați-l conform procedurii administratorului, având în vedere munca de fundal.

Dacă scopul este de a opri accesul atunci când o persoană părăsește biroul, VPN-ul este stratul greșit pentru a-l aplica.

Nu adăugați niciodată un keepalive care generează trafic doar pentru a menține o sesiune în viață dincolo de o politică scrisă pentru a o încheia. Acest lucru transformă un control într-o formalitate și este găsit într-un audit mai degrabă decât într-un bilet. Schimbați politica sau modificați cerința.