Një kohëmatës i papunë VPN numëron trafikun, jo aktivitetin e tastierës
Koha e papunë e portës shikon paketat në tunel, jo tastierën tuaj. Ndani kohëmatësit e boshtit, të sesionit dhe të kyçjes së ekranit përpara se të ndryshoni ndonjë prej tyre.
Kohëmatësi që shkëput një sesion VPN të papunë është duke numëruar paketat, jo goditjet e tasteve. Ai vëzhgon mungesën e komunikimit në tunel, kështu që një laptop me postë, një agjent rezervë ose një klient chat në sfond nuk duket kurrë i papunë për të. Ky fakt shpjegon të dy drejtimet e ankesës së zakonshme: një seancë që i mbijeton një drekë të gjatë dhe një seancë që vdes në mes të punës aktive. Vendosni se cilën orë po luftoni përpara se të kërkoni një rregullim.
Çfarë vëren në të vërtetë kohëmatësi
Në një Cisco ASA, pulla është vpn-indle-timeout, e vendosur sipas një politike grupi ose një politike përdoruesi dhe mat një periudhë pa aktivitet komunikimi. Njësia është minuta, parazgjedhja trashëgohet dhe kontrolli funksionon kundër numëruesve të trafikut në sesion dhe jo kundër çdo gjëje që sistemi operativ di për pajisjet hyrëse. Porta nuk e ka idenë nëse një njeri është në tastierë. Ai e di se kur pa për herë të fundit një pako nga ai klient.
Ora e dytë është vpn-sesion-timeout, dhe është absolute. Fillon kur krijohet seanca dhe skadon pavarësisht se sa i zënë është tuneli. Një seancë që përfundon saktësisht pas një ore përdorimi të rëndë është ai kohëmatës, jo një kohëmatës i papunë dhe asnjë sasi e shtypjes nuk do ta zgjasë atë.
Lexoni të dyja vlerat përpara se të ndryshoni njërën, sepse ato dështojnë në mënyra që duken identike nga karrigia e përdoruesit.
Tre orë të ndryshme njerëzit i quajnë boshe
Tre politika të palidhura përshkruhen si kohëmatës i papunë, dhe vetëm njëra prej tyre ka të bëjë me heshtjen e rrjetit.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
Rreshti i tretë është ai që njerëzit duan në të vërtetë kur thonë se VPN duhet të kyçet kur dikush largohet. Një kohëmatës VPN nuk mund të masë praninë. Nëse kërkesa është që një laptop i pambikëqyrur të humbasë aksesin, kjo i përket politikës së kyçjes së ekranit dhe pajisjes, ku mund të zbatohet pavarësisht nga trafiku në sfond.
Përzierja e të treve prodhon kërkesa si shkëputja pas tridhjetë minutash pa shtypje, të cilat asnjë portë VPN nuk mund t'i zbatojë me ndershmëri.
Gjeni politikën që zotëron këtë lidhje
Identifikoni klientin dhe protokollin përpara se të kërkoni një cilësim. Profili i integruar i macOS Cisco IPsec, një lidhje amtare L2TP dhe Cisco Secure Client nuk ekspozojnë të njëjtat kontrolle dhe një pamje nga ekrani i një kutie kontrolli shkëputje nëse nuk funksionon në njërën prej tyre nuk është dëshmi për të tjerat. Profilet vendase ekspozojnë pak përtej serverit, llogarisë dhe sekretit të përbashkët. Kohëmatësi jeton në portë.
Në ASA, lexoni politikën efektive për përdoruesin ose grupin sesa politikën e paracaktuar për të gjithë:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERDalja e detajeve të sesionit liston kohën e papunë dhe të seancës që janë aplikuar në të vërtetë, me kohën e mbetur. Kjo është politika efektive, përfshirë trashëgiminë, të cilën një ekstrakt i konfigurimit të ekzekutimit nuk mund t'ju tregojë. Krahasoni atë me grupin ku besoni se përdoruesi është, sepse një politikë përdoruesi e anashkalon politikën e grupit.
Pse Mac juaj duket i lidhur pas tridhjetë minutash
Trafiku në sfond është përgjigja e zakonshme dhe nuk është një gabim. Posta, sinkronizimi i fotografive, një kontroll përditësimi, një klient chat që mban hapur një fole ose një skedë shfletuesi me një fole ueb secila prodhon paketa që porta llogaritet si aktivitet. Tuneli qëndron lart sepse po përdoret vërtet, jo nga ju. Shikoni numëruesit dhe jo ekranin nëse doni prova.
Imazhi i pasqyrës është sesioni që bie ndërsa shkruani, që është një kohëzgjatje e seancës ose ndryshim i politikës së administratorit, jo përtaci.
Ekziston edhe një efekt anësor i klientit që ia vlen të dihet gjithashtu. Disa klientë dërgojnë sondat e tyre të ruajtjes ose të kolegëve të vdekur dhe ato pako rivendosin numëruesin e papunë të portës. Kjo është arsyeja pse një mbajtëse e shtuar për të mposhtur një afat kohor funksionon dhe pse është mjeti i gabuar: ndryshon provat që sheh kohëmatësi pa ndryshuar kërkesën e autorizimit pas politikës.
Ndryshoni dorezën e djathtë pa thyer pikën e tij
Nëse qëllimi është të përfundoni një klasë lidhjeje pas pasivitetit të aprovuar të rrjetit, kërkoni pikërisht atë në gjuhën e politikës dhe mbani kohëzgjatjen maksimale të sesionit si një vlerë të veçantë dhe të qëllimshme. Pastaj testojeni atë sipas procedurës së administratorit me llogaritjen e punës në sfond.
Nëse qëllimi është të ndaloni aksesin kur një person largohet nga tavolina, VPN është shtresa e gabuar për ta zbatuar atë.
Asnjëherë mos shtoni një ruajtës që gjeneron trafik vetëm për të mbajtur gjallë një seancë pas një politike të shkruar për t'i dhënë fund. Kjo e kthen një kontroll në një formalitet, dhe ai gjendet në një auditim dhe jo në një biletë. Ndryshoni politikën ose ndryshoni kërkesën.