Ang isang walang-galaw na VPN timer ay nagbibilang ng trapiko, hindi ng aktibidad sa tipahan

Ang timer na nagdidiskonekta sa isang idle VPN session ay nagbibilang ng mga packet, hindi mga keystroke. Nakikita nito ang kawalan ng komunikasyon sa tunnel, kaya ang isang laptop na may mail, isang backup na ahente o isang chat client sa background ay hindi kailanman mukhang idle dito. Ang isang katotohanang iyon ay nagpapaliwanag sa parehong direksyon ng karaniwang reklamo: isang session na nananatili sa mahabang tanghalian, at isang session na namamatay sa gitna ng aktibong trabaho. Magpasya kung aling orasan ang iyong pinaglalaban bago ka maghanap ng setting.

Kung ano talaga ang inoobserbahan ng timer

Sa isang Cisco ASA ang knob ay vpn-idle-timeout, itinakda sa ilalim ng patakaran ng grupo o patakaran ng user, at sinusukat nito ang isang panahon na walang aktibidad sa komunikasyon. Ang unit ay minuto, ang default ay minana, at ang tseke ay tumatakbo laban sa mga counter ng trapiko sa session sa halip na laban sa anumang alam ng operating system tungkol sa mga input device. Walang ideya ang gateway kung tao ang nasa keyboard. Alam nito kung kailan ito huling nakakita ng packet mula sa kliyenteng iyon.

Ang pangalawang orasan ay vpn-session-timeout, at ito ay ganap. Magsisimula ito kapag naitatag ang session at mag-e-expire gaano man kaabala ang tunnel. Ang isang session na magtatapos pagkatapos ng eksaktong isang oras ng mabigat na paggamit ay ang timer, hindi isang idle timer, at walang halaga ng pagta-type ang magpapahaba nito.

Basahin ang parehong mga halaga bago mo baguhin ang alinman, dahil nabigo ang mga ito sa mga paraang mukhang magkapareho sa upuan ng user.

Tatlong magkakaibang orasan ang tinatawag ng mga tao na idle

Tatlong hindi nauugnay na patakaran ang inilarawan bilang idle timer, at isa lang sa mga ito ang tungkol sa katahimikan ng network.

Ang ikatlong hilera ay ang talagang gusto ng mga tao kapag sinabi nilang dapat i-lock ang VPN kapag may umalis. Hindi masusukat ng timer ng VPN ang presensya. Kung ang kinakailangan ay mawalan ng access ang isang laptop na hindi nag-aalaga, kabilang iyon sa patakaran sa screen-lock at device, kung saan maaari itong ipatupad anuman ang trapiko sa background.

Ang paghahalo ng tatlo ay gumagawa ng mga kahilingan tulad ng pagdiskonekta pagkatapos ng tatlumpung minuto ng walang pag-type, na walang VPN gateway na maaaring ipatupad nang matapat.

Hanapin ang patakarang nagmamay-ari ng koneksyon na ito

Kilalanin ang kliyente at ang protocol bago ka maghanap ng setting. Ang built-in na macOS Cisco IPsec profile, isang katutubong L2TP na koneksyon at Cisco Secure Client ay hindi naglalantad ng parehong mga kontrol, at isang screenshot ng isang disconnect-if-idle na checkbox sa isa sa mga ito ay hindi katibayan tungkol sa iba. Ang mga katutubong profile ay bahagyang naglalantad sa labas ng server, ang account at ang nakabahaging lihim. Nakatira ang timer sa gateway.

Sa ASA, basahin ang epektibong patakaran para sa user o grupo sa halip na ang default na patakaran para sa lahat:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Inililista ng output ng detalye ng session ang mga idle at session timeout na aktwal na inilapat, na may natitirang oras. Iyon ang epektibong patakaran, kasama ang mana, na hindi masasabi sa iyo ng isang running-config na sipi. Ikumpara ito sa pangkat na pinaniniwalaan mong kinabibilangan ng user, dahil ang isang patakaran ng user ay na-override ang patakaran ng grupo.

Bakit mukhang konektado ang iyong Mac pagkatapos ng tatlumpung minuto

Ang trapiko sa background ay ang karaniwang sagot, at hindi ito isang bug. Mail, photo sync, isang update check, isang chat client na may hawak na socket, o isang tab ng browser na may websocket bawat isa ay gumagawa ng mga packet na binibilang ng gateway bilang aktibidad. Ang lagusan ay nananatiling nakatayo dahil ito ay tunay na ginagamit, hindi lamang sa iyo. Panoorin ang mga counter kaysa sa screen kung gusto mo ng patunay.

Ang mirror image ay ang session na bumababa habang nagta-type ka, na isang session timeout o pagbabago ng patakaran ng isang administrator, hindi idleness.

May client-side effect din na dapat malaman. Ang ilang mga kliyente ay nagpapadala ng kanilang sariling keepalive o dead-peer probe, at ang mga packet na iyon ay ni-reset ang idle counter ng gateway. Iyon ang dahilan kung bakit gumagana ang isang keepalive na idinagdag upang talunin ang isang timeout, at kung bakit ito ang maling tool: binabago nito ang ebidensya na nakikita ng timer nang hindi binabago ang kinakailangan sa pahintulot sa likod ng patakaran.

Baguhin ang kanang knob nang hindi masira ang punto nito

Kung ang layunin ay tapusin ang isang klase ng koneksyon pagkatapos ng inaprubahang kawalan ng aktibidad ng network, hilingin ang eksaktong iyon sa wika ng patakaran, at panatilihin ang maximum na tagal ng session bilang isang hiwalay at sinadya na halaga. Pagkatapos ay subukan ito sa ilalim ng pamamaraan ng tagapangasiwa na may background na trabaho accounted para sa.

Kung ang layunin ay ihinto ang pag-access kapag ang isang tao ay umalis sa desk, ang VPN ay ang maling layer upang ipatupad ito.

Huwag kailanman magdagdag ng isang keepalive na bumubuo ng trapiko para lang panatilihing buhay ang isang session lampas sa isang patakarang isinulat upang tapusin ito. Iyon ay nagko-convert ng isang kontrol sa isang pormalidad, at ito ay makikita sa isang pag-audit sa halip na sa isang tiket. Baguhin ang patakaran, o baguhin ang kinakailangan.