Таймер простоя VPN считает трафик, а не активность клавиатуры

Таймер, отключающий неактивный сеанс VPN, считает пакеты, а не нажатия клавиш. Он наблюдает за отсутствием связи в туннеле, поэтому ноутбук с почтой, резервным агентом или чат-клиентом в фоновом режиме никогда не выглядит для него бездействующим. Этот один факт объясняет оба направления обычного недовольства: сеанс, переживающий долгий обед, и сеанс, замирающий посреди активной работы. Решите, с какими часами вы сражаетесь, прежде чем искать настройку.

Что на самом деле наблюдает таймер

На Cisco ASA ручка vpn-idle-timeout устанавливается в соответствии с групповой политикой или пользовательской политикой и измеряет период бездействия связи. Единица измерения — минуты, значение по умолчанию наследуется, и проверка выполняется по счетчикам трафика сеанса, а не по всему, что операционная система знает об устройствах ввода. Шлюз понятия не имеет, находится ли человек за клавиатурой. Он знает, когда он в последний раз видел пакет от этого клиента.

Вторые часы — это тайм-аут vpn-session, и они абсолютные. Он начинается при установлении сеанса и заканчивается независимо от того, насколько занят туннель. Сеанс, который заканчивается ровно через час интенсивного использования, является таймером, а не таймером простоя, и никакое количество набора текста не продлит его.

Прочтите оба значения, прежде чем менять любое из них, поскольку с точки зрения пользователя они выглядят одинаково.

Три разных часа, которые люди называют праздными

Три несвязанные политики описываются как таймер простоя, и только одна из них касается тишины в сети.

Третья строка — это то, что люди действительно хотят, когда говорят, что VPN должен блокироваться, когда кто-то уходит. Таймер VPN не может измерять присутствие. Если требование состоит в том, что оставленный без присмотра ноутбук теряет доступ, это относится к политике блокировки экрана и устройства, где оно может применяться независимо от фонового трафика.

Смешение этих трех приводит к таким запросам, как отключение после тридцати минут отсутствия ввода, которые ни один VPN-шлюз не может честно реализовать.

Найдите политику, которой принадлежит это соединение

Определите клиента и протокол, прежде чем искать настройку. Встроенный профиль Cisco IPsec macOS, собственное L2TP-соединение и Cisco Secure Client не предоставляют одни и те же элементы управления, а снимок экрана с флажком отключения в случае простоя в одном из них не свидетельствует о других. Собственные профили мало что раскрывают, кроме сервера, учетной записи и общего секрета. Таймер живет на шлюзе.

На ASA прочитайте действующую политику для пользователя или группы, а не политику по умолчанию для всех:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

В выходных данных сеанса перечислены фактически примененные тайм-ауты простоя и сеанса, а также оставшееся время. Это эффективная политика, включая наследование, о которой вам не расскажет отрывок из рабочей конфигурации. Сравните его с группой, в которой, по вашему мнению, находится пользователь, поскольку политика пользователя переопределяет групповую политику.

Почему ваш Mac выглядит подключенным через тридцать минут

Фоновый трафик — это обычный ответ, и это не ошибка. Почта, синхронизация фотографий, проверка обновлений, клиент чата с открытым сокетом или вкладка браузера с веб-сокетом создают пакеты, которые шлюз считает активностью. Туннель остается открытым, потому что он действительно используется, но не вами. Если вам нужны доказательства, смотрите на счетчики, а не на экран.

Зеркальное изображение — это сеанс, который прерывается, пока вы печатаете, что является тайм-аутом сеанса или изменением политики администратора, а не простоем.

Стоит также знать и эффект на стороне клиента. Некоторые клиенты отправляют свои собственные проверки активности или проверки отсутствия одноранговых узлов, и эти пакеты сбрасывают счетчик простоя шлюза. Вот почему поддержка активности, добавленная для обхода тайм-аута, работает, и почему это неправильный инструмент: он меняет свидетельства, которые видит таймер, без изменения требований авторизации, лежащих в основе политики.

Поменяйте правую ручку, не нарушая ее сути

Если цель состоит в том, чтобы завершить класс соединения после одобренного бездействия сети, запросите именно это на языке политики и сохраните максимальную продолжительность сеанса как отдельное и намеренное значение. Затем протестируйте его в соответствии с процедурой администратора с учетом фоновой работы.

Если цель состоит в том, чтобы прекратить доступ, когда человек покидает рабочий стол, VPN — не тот уровень, который может обеспечить ее соблюдение.

Никогда не добавляйте поддержку активности, генерирующую трафик, только для того, чтобы поддерживать сеанс после выполнения политики, написанной для его завершения. Это превращает контроль в формальность, и его можно найти в ходе аудита, а не в билете. Измените политику или измените требование.