VPN tajmer neaktivnosti broji promet, a ne tastaturu

Tajmer koji prekida neaktivnu VPN sesiju broji pakete, a ne pritiske na tastaturi. On posmatra odsustvo komunikacije na tunelu, pa laptop s poštom, agentom za rezervne kopije ili chat klijentom u pozadini nikada mu ne izgleda neaktivan. Ta jedna činjenica objašnjava oba smjera uobičajene žalbe: sesiju koja preživi dugi ručak i sesiju koja umre usred aktivnog rada. Odredite s kojim satom se borite prije nego što počnete tražiti postavku.

Šta tajmer zapravo posmatra

Na Cisco ASA parametar je vpn-idle-timeout, postavlja se u grupnoj ili korisničkoj politici i mjeri period bez komunikacijske aktivnosti. Jedinica je minuta, zadana vrijednost se nasljeđuje, a provjera se izvodi prema brojačima prometa u sesiji, a ne prema onome što operativni sistem zna o ulaznim uređajima. Gateway nema pojma je li čovjek za tastaturom. Zna kada je posljednji put vidio paket od tog klijenta.

Drugi sat je vpn-session-timeout i on je apsolutan. Počinje kad se sesija uspostavi i ističe bez obzira na to koliko je tunel zauzet. Sesija koja završi nakon tačno jednog sata teškog korištenja je taj tajmer, a ne tajmer neaktivnosti, i nikakva količina tipkanja ga neće produžiti.

Pročitajte obje vrijednosti prije nego što promijenite bilo koju, jer one otkazuju na način koji s korisničke stolice izgleda identično.

Tri različita sata koja ljudi nazivaju neaktivnošću

Tri nepovezane politike opisuju se kao tajmer neaktivnosti, a samo jedna od njih odnosi se na mrežnu tišinu.

Treći red je ono što ljudi zapravo žele kada kažu da se VPN treba zaključati kad neko odstupi. VPN tajmer ne može mjeriti prisustvo. Ako je zahtjev da laptop bez nadzora izgubi pristup, mjesto za to je politika zaključavanja ekrana i politika uređaja, gdje se može provesti bez obzira na pozadinski promet.

Miješanje troje daje zahtjeve poput prekini nakon trideset minuta bez tipkanja, koje nijedan VPN gateway ne može iskreno implementirati.

Nađite politiku koja posjeduje ovu vezu

Identificirajte klijenta i protokol prije nego što tražite postavku. Ugrađeni Cisco IPsec profil u macOS-u, izvorna L2TP veza i Cisco Secure Client ne nude iste kontrole, a snimka ekrana polja prekini ako je neaktivno u jednom od njih nije dokaz o ostalima. Izvorni profili nude malo osim servera, računa i dijeljene tajne. Tajmer živi na gatewayu.

Na ASA pročitajte efektivnu politiku za korisnika ili grupu, a ne zadanu politiku za sve:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Izlaz s detaljima sesije navodi neaktivnost i vremenska ograničenja sesije koji su stvarno primijenjeni, uz preostalo vrijeme. To je efektivna politika, uključujući nasljeđivanje, što vam isječak running-config ne može reći. Uporedite je s grupom za koju mislite da je korisnik u njoj, jer korisnička politika nadjačava grupnu.

Zašto vaš Mac izgleda povezano nakon trideset minuta

Pozadinski promet je uobičajen odgovor i to nije greška. Pošta, sinhronizacija fotografija, provjera ažuriranja, chat klijent koji drži socket otvoren ili kartica preglednika s web socketom svaki stvara pakete koje gateway računa kao aktivnost. Tunel ostaje otvoren jer se stvarno koristi, samo ne od vas. Gledajte brojače, a ne ekran, ako želite dokaz.

Zrcalna slika je sesija koja padne dok tipkate, a to je vremensko ograničenje sesije ili promjena politike od administratora, ne neaktivnost.

Postoji i efekat na strani klijenta koji vrijedi znati. Neki klijenti šalju vlastite keepalive ili dead-peer probe, a ti paketi resetiraju gatewayov brojač neaktivnosti. Zato keepalive dodan da pobijedi vremensko ograničenje funkcioniše i zato je pogrešan alat: mijenja dokaz koji tajmer vidi, a ne mijenja zahtjev za autorizaciju iza politike.

Promijenite pravi parametar bez rušenja njegove svrhe

Ako je cilj prekinuti klasu veza nakon odobrene mrežne neaktivnosti, tražite upravo to u jeziku politike i držite maksimalno trajanje sesije kao odvojenu i namjernu vrijednost. Zatim to testirajte prema administratorovoj proceduri, uz uračunat pozadinski rad.

Ako je cilj zaustaviti pristup kada osoba napusti radni sto, VPN je pogrešan sloj za to provođenje.

Nikada ne dodajte keepalive koji generiše promet samo da bi sesija preživjela politiku napisanu da je okonča. To pretvara kontrolu u formalnost i otkriva se na reviziji, a ne u tiketu. Promijenite politiku ili promijenite zahtjev.