En inaktiv VPN-timer räknar trafik, inte tangentbordsaktivitet

Timern som kopplar bort en ledig VPN-session räknar paket, inte tangenttryckningar. Den observerar frånvaron av kommunikation i tunneln, så en bärbar dator med e-post, en backupagent eller en chattklient i bakgrunden ser aldrig passiv ut för den. Detta faktum förklarar båda riktningarna för det vanliga klagomålet: en session som överlever en lång lunch och en session som dör mitt i aktivt arbete. Bestäm vilken klocka du kämpar på innan du letar efter en inställning.

Vad timern faktiskt observerar

På en Cisco ASA är ratten vpn-idle-timeout, inställd under en grupppolicy eller en användarpolicy, och den mäter en period utan kommunikationsaktivitet. Enheten är minuter, standarden ärvs och kontrollen körs mot trafikräknare på sessionen snarare än mot något som operativsystemet känner till om indataenheter. Gatewayen har ingen aning om om en människa är vid tangentbordet. Den vet när den senast såg ett paket från den klienten.

Den andra klockan är vpn-session-timeout, och den är absolut. Den börjar när sessionen är etablerad och löper ut oavsett hur upptagen tunneln är. En session som slutar efter exakt en timmes hård användning är den timern, inte en inaktiv timer, och ingen mängd skrivning kommer att förlänga den.

Läs båda värdena innan du ändrar heller, eftersom de misslyckas på sätt som ser identiska ut från användarens stol.

Tre olika klockor folk kallar inaktiva

Tre orelaterade policyer beskrivs som inaktiv timer, och endast en av dem handlar om tystnad i nätverket.

Den tredje raden är den som folk faktiskt vill ha när de säger att VPN ska låsas när någon går därifrån. En VPN-timer kan inte mäta närvaro. Om kravet är att en obevakad bärbar dator förlorar åtkomst, hör det hemma i skärmlås och enhetspolicy, där det kan tillämpas oavsett bakgrundstrafik.

Att blanda de tre producerar förfrågningar som att koppla bort efter trettio minuter utan att skriva, vilket ingen VPN-gateway kan implementera ärligt.

Hitta policyn som äger denna anslutning

Identifiera klienten och protokollet innan du letar efter en inställning. Den inbyggda macOS Cisco IPsec-profilen, en inbyggd L2TP-anslutning och Cisco Secure Client exponerar inte samma kontroller, och en skärmdump av en kryssruta frånkoppla-om-idle i en av dem är inte bevis på de andra. De inbyggda profilerna avslöjar lite utöver servern, kontot och den delade hemligheten. Timern bor på gatewayen.

På ASA, läs den effektiva policyn för användaren eller gruppen snarare än standardpolicyn för alla:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Sessionsdetaljutgången listar de inaktiva och sessionstidsgränserna som faktiskt tillämpades, med den återstående tiden. Det är den effektiva policyn, inklusive arv, som ett utdrag med körkonfiguration inte kan berätta för dig. Jämför det med gruppen du tror att användaren är i, eftersom en användarpolicy åsidosätter grupppolicyn.

Varför din Mac ser ansluten ut efter trettio minuter

Bakgrundstrafik är det vanliga svaret, och det är inte en bugg. E-post, fotosynkronisering, en uppdateringskontroll, en chattklient som håller en socket öppen eller en webbläsarflik med en websocket producerar varje paket som gatewayen räknas som aktivitet. Tunneln står kvar eftersom den verkligen används, bara inte av dig. Titta på räknarna snarare än på skärmen om du vill ha bevis.

Spegelbilden är den session som avbryts medan du skriver, vilket är en sessionstimeout eller en administratörs policyändring, inte tomgång.

Det finns också en klientbieffekt som är värd att känna till. Vissa klienter skickar sina egna keepalives eller dead-peer-sonder, och dessa paket återställer gatewayens inaktiva räknare. Det är därför en keepalive som läggs till för att besegra en timeout fungerar, och varför det är fel verktyg: det ändrar bevisen som timern ser utan att ändra behörighetskravet bakom policyn.

Byt höger ratt utan att bryta poängen med den

Om målet är att avsluta en klass av anslutning efter godkänd nätverksinaktivitet, be om exakt det på policyspråket och behåll den maximala sessionslängden som ett separat och avsiktligt värde. Testa det sedan enligt administratörens procedur med bakgrundsarbete redogjort för.

Om målet är att stoppa åtkomsten när en person lämnar skrivbordet, är VPN fel lager för att upprätthålla det.

Lägg aldrig till en trafikgenererande Keepalive bara för att hålla en session vid liv efter en policy som skrivits för att avsluta den. Det omvandlar en kontroll till en formalitet, och den hittas i en revision snarare än i en biljett. Ändra policyn eller ändra kravet.