Неактивний таймер VPN підраховує трафік, а не активність клавіатури

Таймер, який відключає неактивний сеанс VPN, підраховує пакети, а не натискання клавіш. Він спостерігає за відсутністю зв’язку в тунелі, тому ноутбук із поштою, агентом резервного копіювання чи клієнтом чату у фоновому режимі ніколи не виглядає бездіяльним для нього. Цей один факт пояснює обидва напрямки звичайної скарги: сеанс, який переживає довгий обід, і сеанс, який помирає посеред активної роботи. Вирішіть, з яким годинником ви боретеся, перш ніж шукати налаштування.

Що насправді спостерігає таймер

На Cisco ASA ручка vpn-idle-timeout, встановлена в груповій політиці або політиці користувача, і вона вимірює період без активності зв’язку. Одиницею вимірювання є хвилини, значення за замовчуванням успадковується, і перевірка виконується з лічильниками трафіку в сеансі, а не з тим, що операційна система знає про пристрої введення. Шлюз не знає, чи є людина за клавіатурою. Він знає, коли востаннє бачив пакет від цього клієнта.

Другий годинник — тайм-аут vpn-session, і він є абсолютним. Він починається, коли сеанс встановлено, і закінчується незалежно від того, наскільки зайнятий тунель. Сеанс, який завершується рівно через одну годину інтенсивного використання, є тим таймером, а не таймером простою, і жодне введення тексту не продовжить його.

Прочитайте обидва значення, перш ніж змінювати будь-яке з них, тому що вони не справляються зі крісла користувача.

Три різні годинники люди називають неробочими

Три непов’язані політики описуються як таймер простою, і лише одна з них стосується мовчання мережі.

Третій рядок — це те, чого люди насправді хочуть, коли кажуть, що VPN має блокуватися, коли хтось відходить. Таймер VPN не може вимірювати присутність. Якщо вимога полягає в тому, що ноутбук без нагляду втрачає доступ, це належить до політики блокування екрана та пристрою, де її можна застосувати незалежно від фонового трафіку.

Змішування цих трьох створює запити на зразок відключення після тридцяти хвилин відсутності введення, що жоден шлюз VPN не може реалізувати чесно.

Знайдіть політику, якій належить це підключення

Перш ніж шукати налаштування, визначте клієнта та протокол. Вбудований профіль macOS Cisco IPsec, власне L2TP-з’єднання та Cisco Secure Client не мають однакових елементів керування, а знімок екрана, на якому зображено прапорець «Від’єднатися у разі простою» в одному з них, не свідчить про інші. Рідні профілі мало що відкривають, крім сервера, облікового запису та спільного секрету. Таймер живе на шлюзі.

На ASA прочитайте діючу політику для користувача або групи, а не політику за замовчуванням для всіх:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Вихідні відомості про сеанс містять список фактично застосованих тайм-аутів неактивності та сеансу з часом, що залишився. Це ефективна політика, включно з успадкуванням, про яку не може розповісти уривок запущеної конфігурації. Порівняйте це з групою, до якої, на вашу думку, входить користувач, оскільки політика користувача перекриває групову політику.

Чому ваш Mac виглядає підключеним через тридцять хвилин

Фоновий трафік – це звичайна відповідь, і це не помилка. Пошта, синхронізація фотографій, перевірка оновлень, клієнт чату з відкритим сокетом або вкладка браузера з веб-сокетом створюють пакети, які шлюз зараховує як активність. Тунель залишається відкритим, тому що він справді використовується, а не вами. Дивіться на лічильники, а не на екран, якщо хочете доказів.

Дзеркальне відображення — це сеанс, який припиняється під час введення тексту, який є тайм-аутом сеансу або зміною політики адміністратора, а не бездіяльністю.

Також варто знати про ефект клієнта. Деякі клієнти надсилають власні запити підтримки активності або зонди мертвих однорангових пристроїв, і ці пакети скидають лічильник простою шлюзу. Ось чому функція підтримки активності, додана для подолання тайм-ауту, працює, і чому це неправильний інструмент: вона змінює докази, які бачить таймер, не змінюючи вимог авторизації, що стоїть за політикою.

Змініть праву ручку, не порушуючи її вістря

Якщо мета полягає в тому, щоб завершити клас підключення після схваленої бездіяльності мережі, запитайте саме це в мові політики та збережіть максимальну тривалість сеансу як окреме та навмисне значення. Потім протестуйте його за процедурою адміністратора з урахуванням фонової роботи.

Якщо мета полягає в тому, щоб припинити доступ, коли людина залишає робочий стіл, VPN є неправильним рівнем, щоб забезпечити це.

Ніколи не додавайте функцію підтримки активності, що генерує трафік, лише для того, щоб підтримувати сеанс без політики, написаної для його завершення. Це перетворює контроль на формальність, і його можна знайти в аудиті, а не в квитку. Змініть політику або вимогу.