Nečinný časovač VPN počíta návštevnosť, nie aktivitu klávesnice

Časovač, ktorý odpojí nečinnú reláciu VPN, počíta pakety, nie stlačenia klávesov. Pozoruje absenciu komunikácie na tuneli, takže notebook s poštou, zálohovacím agentom alebo chatovacím klientom na pozadí nikdy nevyzerá nečinne. Táto jedna skutočnosť vysvetľuje obidva smery obvyklej sťažnosti: reláciu, ktorá prežije dlhý obed, a reláciu, ktorá zomrie uprostred aktívnej práce. Rozhodnite sa, s ktorými hodinami bojujete, skôr než pôjdete hľadať nastavenie.

Čo časovač skutočne pozoruje

Na Cisco ASA je gombík vpn-idle-timeout nastavený v rámci skupinovej politiky alebo politiky používateľa a meria obdobie bez komunikačnej aktivity. Jednotkou sú minúty, predvolená hodnota je dedená a kontrola prebieha podľa počítadiel prevádzky v relácii, a nie podľa čohokoľvek, čo operačný systém vie o vstupných zariadeniach. Brána netuší, či je pri klávesnici človek. Vie, kedy naposledy videl paket od tohto klienta.

Druhé hodiny sú vpn-session-timeout a sú absolútne. Začína sa pri nadviazaní relácie a končí bez ohľadu na to, ako je tunel zaneprázdnený. Relácia, ktorá sa skončí presne po jednej hodine intenzívneho používania, je tento časovač, nie časovač nečinnosti a žiadne množstvo písania ju nepredĺži.

Prečítajte si obe hodnoty skôr, ako ich zmeníte, pretože zlyhávajú spôsobmi, ktoré vyzerajú identicky z kresla používateľa.

Tri rôzne hodiny ľudia nazývajú nečinné

Tri nesúvisiace politiky sú opísané ako časovač nečinnosti a iba jedna z nich sa týka ticha siete.

Tretí riadok je ten, ktorý ľudia skutočne chcú, keď hovoria, že VPN by sa mala uzamknúť, keď niekto odíde. Časovač VPN nemôže merať prítomnosť. Ak je požiadavkou, že bezobslužný prenosný počítač stratí prístup, patrí to do politiky uzamknutia obrazovky a zariadenia, kde sa dá vynútiť bez ohľadu na prevádzku na pozadí.

Zmiešanie týchto troch vytvára požiadavky, ako je odpojenie po tridsiatich minútach bez písania, ktoré žiadna brána VPN nemôže čestne implementovať.

Nájdite politiku, ktorá vlastní toto pripojenie

Pred hľadaním nastavenia identifikujte klienta a protokol. Vstavaný profil macOS Cisco IPsec, natívne pripojenie L2TP a Cisco Secure Client neodhaľujú rovnaké ovládacie prvky a snímka obrazovky začiarkavacieho políčka odpojiť, ak je nečinný v jednom z nich nie je dôkazom ostatných. Natívne profily odhaľujú len málo okrem servera, účtu a zdieľaného tajomstva. Časovač žije na bráne.

Na ASA si radšej prečítajte účinnú politiku pre používateľa alebo skupinu ako predvolenú politiku pre každého:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Vo výstupe podrobností o relácii sú uvedené časové limity nečinnosti a relácií, ktoré boli skutočne použité, so zostávajúcim časom. To je efektívna politika, vrátane dedičnosti, ktorú vám úryvok spustenej konfigurácie nemôže povedať. Porovnajte to so skupinou, v ktorej sa domnievate, že sa používateľ nachádza, pretože politika používateľa má prednosť pred skupinovou politikou.

Prečo váš Mac vyzerá pripojený po tridsiatich minútach

Prevádzka na pozadí je obvyklou odpoveďou a nie je to chyba. Pošta, synchronizácia fotografií, kontrola aktualizácií, chatovací klient s otvoreným soketom alebo karta prehliadača s webovým soketom vytvárajú pakety, ktoré brána počíta ako aktivitu. Tunel zostáva hore, pretože ho skutočne používate, len nie vy. Ak chcete dôkaz, sledujte radšej počítadlá ako obrazovku.

Zrkadlový obraz je relácia, ktorá klesá počas písania, čo je časový limit relácie alebo zmena politiky správcu, nie nečinnosť.

Existuje aj vedľajší účinok na klienta, ktorý stojí za to vedieť. Niektorí klienti posielajú svoje vlastné udržiavacie alebo nefunkčné sondy a tieto pakety vynulujú počítadlo nečinnosti brány. To je dôvod, prečo udržiavanie pridané na prekonanie časového limitu funguje a prečo je to nesprávny nástroj: mení dôkazy, ktoré časovač vidí, bez toho, aby sa zmenila požiadavka na autorizáciu za politikou.

Vymeňte pravý gombík bez toho, aby ste zlomili jeho hrot

Ak je cieľom ukončiť triedu pripojenia po schválenej nečinnosti siete, požiadajte o to presne v jazyku politiky a ponechajte maximálne trvanie relácie ako samostatnú a zámernú hodnotu. Potom ho otestujte podľa postupu správcu so započítanou prácou na pozadí.

Ak je cieľom zastaviť prístup, keď osoba odíde od stola, VPN je nesprávna vrstva, ktorá to má vynútiť.

Nikdy nepridávajte udržiavaciu aktivitu generujúcu návštevnosť, len aby ste udržali reláciu nažive po pravidlách napísaných na jej ukončenie. To premení kontrolu na formalitu a nájde sa skôr v audite ako v lístku. Zmeňte politiku alebo zmeňte požiadavku.