ตัวจับเวลา VPN ที่ไม่ได้ใช้งานจะนับการรับส่งข้อมูล ไม่ใช่กิจกรรมบนคีย์บอร์ด
การหมดเวลาของเกตเวย์ที่ไม่ได้ใช้งานจะคอยดูแพ็กเก็ตบนทันเนล ไม่ใช่คีย์บอร์ดของคุณ แยกตัวจับเวลาการไม่ได้ใช้งาน เซสชัน และการล็อกหน้าจอก่อนที่จะทำการเปลี่ยนแปลงใดๆ
ตัวจับเวลาที่ตัดการเชื่อมต่อเซสชัน VPN ที่ไม่ได้ใช้งานกำลังนับแพ็กเก็ต ไม่ใช่การกดแป้นพิมพ์ โดยจะสังเกตเห็นว่าไม่มีการสื่อสารในอุโมงค์ ดังนั้นแล็ปท็อปที่มีเมล เอเจนต์สำรอง หรือไคลเอ็นต์แชทในเบื้องหลังจะไม่ดูเหมือนไม่ได้ใช้งานเลย ข้อเท็จจริงประการหนึ่งนั้นอธิบายได้ทั้งสองทิศทางของการร้องเรียนตามปกติ ได้แก่ เซสชันที่ต้องกินอาหารกลางวันเป็นเวลานาน และเซสชันที่เสียชีวิตระหว่างการทำงานที่กระตือรือร้น ตัดสินใจเลือกนาฬิกาที่คุณกำลังต่อสู้ก่อนที่คุณจะมองหาสถานที่
สิ่งที่ตัวจับเวลาสังเกตได้จริง
บน Cisco ASA ปุ่มหมุนจะเป็น vpn-idle-timeout ซึ่งตั้งค่าภายใต้นโยบายกลุ่มหรือนโยบายผู้ใช้ และจะวัดระยะเวลาที่ไม่มีกิจกรรมการสื่อสาร หน่วยเป็นนาที ค่าดีฟอลต์จะสืบทอดมา และการตรวจสอบจะทำงานกับตัวนับการรับส่งข้อมูลในเซสชัน แทนที่จะเทียบกับสิ่งใดๆ ที่ระบบปฏิบัติการทราบเกี่ยวกับอุปกรณ์อินพุต เกตเวย์ไม่รู้ว่ามนุษย์อยู่ที่คีย์บอร์ดหรือไม่ มันรู้ว่าเมื่อใดที่เห็นแพ็กเก็ตจากไคลเอนต์นั้นครั้งล่าสุด
นาฬิกาที่สองคือ VPN-session-timeout และเป็นค่าสัมบูรณ์ เริ่มต้นเมื่อมีการสร้างเซสชันและสิ้นสุดไม่ว่าอุโมงค์จะยุ่งแค่ไหนก็ตาม เซสชันที่สิ้นสุดหลังจากใช้งานหนักเป็นเวลาหนึ่งชั่วโมงพอดีคือตัวจับเวลานั้น ไม่ใช่ตัวจับเวลาที่ไม่ได้ใช้งาน และไม่มีการพิมพ์ใดๆ ที่จะขยายเวลาออกไป
อ่านค่าทั้งสองก่อนที่คุณจะเปลี่ยนแปลง เนื่องจากค่าเหล่านี้ล้มเหลวในลักษณะที่เหมือนกันเมื่อพิจารณาจากเก้าอี้ของผู้ใช้
นาฬิกาสามแบบที่ผู้คนเรียกว่าไม่ได้ใช้งาน
นโยบายที่ไม่เกี่ยวข้องสามรายการได้รับการอธิบายว่าเป็นตัวจับเวลาที่ไม่ได้ใช้งาน และมีเพียงนโยบายเดียวเท่านั้นที่เกี่ยวข้องกับความเงียบของเครือข่าย
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
แถวที่สามคือแถวที่ผู้คนต้องการจริงๆ เมื่อพวกเขาบอกว่า VPN ควรล็อคเมื่อมีคนเดินจากไป ตัวจับเวลา VPN ไม่สามารถวัดการแสดงตนได้ หากข้อกำหนดคือแล็ปท็อปที่ไม่ได้รับการดูแลสูญเสียการเข้าถึง ข้อกำหนดนั้นอยู่ในนโยบายการล็อกหน้าจอและอุปกรณ์ ซึ่งสามารถบังคับใช้ได้โดยไม่คำนึงถึงการรับส่งข้อมูลในเบื้องหลัง
การผสมทั้งสามเข้าด้วยกันทำให้เกิดคำขอ เช่น ตัดการเชื่อมต่อหลังจากไม่ได้พิมพ์เป็นเวลาสามสิบนาที ซึ่งไม่มีเกตเวย์ VPN ใดที่สามารถใช้งานได้โดยสุจริต
ค้นหานโยบายที่เป็นเจ้าของการเชื่อมต่อนี้
ระบุไคลเอ็นต์และโปรโตคอลก่อนที่คุณจะค้นหาการตั้งค่า โปรไฟล์ Cisco IPsec ของ macOS ในตัว การเชื่อมต่อ L2TP ดั้งเดิม และ Cisco Secure Client จะไม่เปิดเผยการควบคุมเดียวกัน และภาพหน้าจอของช่องทำเครื่องหมายตัดการเชื่อมต่อหากไม่ได้ใช้งานในช่องใดช่องหนึ่งก็ไม่ใช่หลักฐานเกี่ยวกับส่วนอื่นๆ โปรไฟล์ดั้งเดิมเปิดเผยเพียงเล็กน้อยนอกเหนือจากเซิร์ฟเวอร์ บัญชี และความลับที่แชร์ ตัวจับเวลาอาศัยอยู่บนเกตเวย์
ใน ASA ให้อ่านนโยบายที่มีผลบังคับใช้สำหรับผู้ใช้หรือกลุ่ม แทนที่จะเป็นนโยบายเริ่มต้นสำหรับทุกคน:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERผลลัพธ์รายละเอียดเซสชันจะแสดงการหมดเวลาของการไม่ได้ใช้งานและการหมดเวลาของเซสชันที่ใช้จริง พร้อมเวลาที่เหลืออยู่ นั่นคือนโยบายที่มีประสิทธิภาพ รวมการสืบทอด ซึ่งข้อความที่ตัดตอนมาจากการกำหนดค่าที่ทำงานอยู่ไม่สามารถบอกคุณได้ เปรียบเทียบกับกลุ่มที่คุณเชื่อว่าผู้ใช้อยู่ เนื่องจากนโยบายผู้ใช้จะแทนที่นโยบายกลุ่ม
เหตุใด Mac ของคุณจึงดูเชื่อมต่อหลังจากผ่านไปสามสิบนาที
การรับส่งข้อมูลในเบื้องหลังเป็นคำตอบปกติ และไม่ใช่ข้อบกพร่อง เมล การซิงค์รูปภาพ การตรวจสอบการอัปเดต ไคลเอนต์แชทที่เปิดซ็อกเก็ตไว้ หรือแท็บเบราว์เซอร์ที่มีเว็บซ็อกเก็ต ซึ่งแต่ละแพ็กเก็ตจะสร้างแพ็กเก็ตที่เกตเวย์นับเป็นกิจกรรม อุโมงค์ยังคงอยู่เพราะมันถูกใช้จริงๆ ไม่ใช่โดยคุณ ดูเคาน์เตอร์แทนที่จะดูที่หน้าจอหากคุณต้องการหลักฐาน
ภาพสะท้อนคือเซสชันที่หายไปในขณะที่คุณกำลังพิมพ์ ซึ่งเป็นการหมดเวลาของเซสชันหรือการเปลี่ยนแปลงนโยบายของผู้ดูแลระบบ ไม่ใช่การไม่ได้ใช้งาน
มีผลข้างเคียงที่ลูกค้าควรรู้เช่นกัน ไคลเอนต์บางรายส่ง Keepalives หรือ Dead-Peer Probe ของตนเอง และแพ็กเก็ตเหล่านั้นจะรีเซ็ตตัวนับที่ไม่ได้ใช้งานของเกตเวย์ นั่นคือเหตุผลที่การเพิ่ม Keepalive เพื่อเอาชนะการหมดเวลาได้ผล และเหตุใดจึงเป็นเครื่องมือที่ไม่ถูกต้อง: มันเปลี่ยนหลักฐานที่ตัวจับเวลาเห็นโดยไม่ต้องเปลี่ยนข้อกำหนดการอนุญาตเบื้องหลังนโยบาย
เปลี่ยนลูกบิดขวาโดยไม่ทำลายจุดของมัน
หากเป้าหมายคือการสิ้นสุดคลาสของการเชื่อมต่อหลังจากไม่มีการใช้งานเครือข่ายที่ได้รับอนุมัติ ให้ถามอย่างชัดเจนในภาษาของนโยบาย และเก็บระยะเวลาเซสชันสูงสุดไว้เป็นค่าแยกต่างหากและเป็นค่าที่ตั้งใจไว้ จากนั้นทดสอบภายใต้ขั้นตอนของผู้ดูแลระบบโดยคำนึงถึงงานเบื้องหลัง
หากเป้าหมายคือการหยุดการเข้าถึงเมื่อมีบุคคลออกจากโต๊ะ แสดงว่า VPN เป็นเลเยอร์ที่ไม่ถูกต้องในการบังคับใช้
อย่าเพิ่ม Keepalive ที่สร้างการเข้าชมเพียงเพื่อรักษาเซสชันให้คงอยู่หลังจากนโยบายที่เขียนขึ้นเพื่อยุติเซสชัน ซึ่งจะแปลงการควบคุมให้กลายเป็นพิธีการ และจะพบได้ในการตรวจสอบมากกว่าในตั๋ว เปลี่ยนนโยบายหรือเปลี่ยนข้อกำหนด