Nedejaven časovnik VPN šteje promet, ne dejavnosti tipkovnice

Časovnik, ki prekine nedejavno sejo VPN, šteje pakete, ne pritiskov tipk. Opazuje odsotnost komunikacije v tunelu, tako da prenosni računalnik s pošto, rezervnim agentom ali odjemalcem za klepet v ozadju zanj nikoli ni videti nedejaven. To eno dejstvo pojasnjuje obe smeri običajne pritožbe: sejo, ki preživi dolgo kosilo, in sejo, ki umre sredi aktivnega dela. Odločite se, s katero uro se borite, preden greste iskati nastavitev.

Kaj merilec časa dejansko opazi

Na Cisco ASA je gumb vpn-idle-timeout, nastavljen pod pravilnikom skupine ali pravilnikom uporabnika, in meri obdobje brez komunikacijske dejavnosti. Enota je minute, privzeta vrednost je podedovana, preverjanje pa poteka glede na števec prometa v seji in ne glede na vse, kar operacijski sistem ve o vhodnih napravah. Prehod ne ve, ali je za tipkovnico človek. Ve, kdaj je nazadnje videl paket tega odjemalca.

Druga ura je vpn-session-timeout in je absolutna. Začne se ob vzpostavitvi seje in poteče ne glede na to, kako zaseden je predor. Seja, ki se konča po natanko eni uri intenzivne uporabe, je tisti časovnik, ne časovnik mirovanja, in nobena količina tipkanja je ne bo podaljšala.

Preberite obe vrednosti, preden spremenite eno ali drugo, ker ne uspeta na načine, ki so iz uporabniškega stola videti enaki.

Tri različne ure ljudje imenujejo nedejavne

Trije nepovezani pravilniki so opisani kot časovnik nedejavnosti in samo eden od njih govori o tišini omrežja.

Tretja vrstica je tista, ki jo ljudje dejansko želijo, ko pravijo, da se mora VPN zakleniti, ko nekdo odide. Časovnik VPN ne more meriti prisotnosti. Če je zahteva, da prenosni računalnik brez nadzora izgubi dostop, to sodi v pravilnik o zaklepanju zaslona in napravi, kjer se lahko uveljavi ne glede na promet v ozadju.

Mešanje teh treh povzroči zahteve, kot je prekinitev povezave po tridesetih minutah brez tipkanja, česar noben prehod VPN ne more pošteno izvesti.

Poiščite pravilnik, ki je lastnik te povezave

Preden poiščete nastavitev, identificirajte odjemalca in protokol. Vgrajeni profil macOS Cisco IPsec, izvorna povezava L2TP in Cisco Secure Client ne izpostavljajo istih kontrol, posnetek zaslona potrditvenega polja za prekinitev povezave v mirovanju v enem od njih pa ni dokaz o drugih. Izvorni profili razkrijejo malo več kot strežnik, račun in skupno skrivnost. Časovnik živi na prehodu.

Na ASA preberite veljavno politiko za uporabnika ali skupino namesto privzete politike za vse:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Izhod podrobnosti seje navaja časovne omejitve nedejavnosti in seje, ki so bile dejansko uporabljene, s preostalim časom. To je učinkovit pravilnik, vključno z dedovanjem, ki vam ga izvleček tekoče konfiguracije ne more povedati. Primerjajte ga s skupino, v kateri menite, da je uporabnik, ker uporabniški pravilnik preglasi pravilnik skupine.

Zakaj je vaš Mac videti povezan po tridesetih minutah

Promet v ozadju je običajen odgovor in ne gre za napako. Pošta, sinhronizacija fotografij, preverjanje posodobitev, odjemalec za klepet, ki ima odprto vtičnico, ali zavihek brskalnika s spletno vtičnico, vsak proizvaja pakete, ki jih prehod šteje kot dejavnost. Tunel ostane pokončen, ker ga resnično uporabljate, samo ne vi. Raje glejte števce kot zaslon, če želite dokaz.

Zrcalna slika je seja, ki prekine med tipkanjem, kar je časovna omejitev seje ali sprememba pravilnika skrbnika, ne pa mirovanje.

Obstaja tudi učinek na strani stranke, ki ga je vredno poznati. Nekateri odjemalci pošljejo svoje lastne keepalive ali sonde mrtvih vrstnikov in ti paketi ponastavijo števec nedejavnosti prehoda. Zato ohranjanje, dodano za premagovanje časovne omejitve, deluje in zakaj je napačno orodje: spremeni dokaze, ki jih vidi časovnik, ne da bi spremenil zahtevo po avtorizaciji za pravilnikom.

Zamenjajte desni gumb, ne da bi poškodovali njegovo konico

Če je cilj končati razred povezave po odobreni nedejavnosti omrežja, zahtevajte natančno to v jeziku pravilnika in obdržite največje trajanje seje kot ločeno in namerno vrednost. Nato ga preizkusite po skrbniškem postopku z upoštevanjem dela v ozadju.

Če je cilj zaustaviti dostop, ko oseba zapusti mizo, je VPN napačna plast za uveljavitev tega.

Nikoli ne dodajajte opozorila, ki ustvarja promet, samo zato, da ohranite sejo živo mimo pravilnika, napisanega za njeno prekinitev. To spremeni kontrolo v formalnost, najdemo pa jo v reviziji in ne v potrdilu. Spremenite pravilnik ali spremenite zahtevo.