ایک غیر فعال VPN ٹائمر ٹریفک کا شمار کرتا ہے، کی بورڈ کی سرگرمی نہیں
ایک گیٹ وے بیکار ٹائم آؤٹ آپ کے کی بورڈ پر نہیں، سرنگ پر پیکٹ دیکھتا ہے۔ ان میں سے کسی کو تبدیل کرنے سے پہلے بیکار، سیشن اور اسکرین لاک ٹائمرز کو الگ کریں۔
ٹائمر جو ایک بیکار VPN سیشن کو منقطع کرتا ہے وہ پیکٹوں کی گنتی کر رہا ہے، کی اسٹروک نہیں۔ یہ سرنگ پر مواصلات کی عدم موجودگی کا مشاہدہ کرتا ہے، لہذا پس منظر میں میل کے ساتھ ایک لیپ ٹاپ، بیک اپ ایجنٹ یا چیٹ کلائنٹ اسے کبھی بھی بیکار نہیں لگتا ہے۔ یہ ایک حقیقت معمول کی شکایت کی دونوں سمتوں کی وضاحت کرتی ہے: ایک سیشن جو طویل دوپہر کے کھانے سے بچ جاتا ہے، اور ایک سیشن جو فعال کام کے درمیان مر جاتا ہے۔ سیٹنگ کی تلاش میں جانے سے پہلے فیصلہ کریں کہ آپ کس گھڑی سے لڑ رہے ہیں۔
ٹائمر اصل میں کیا مشاہدہ کرتا ہے
Cisco ASA پر knob vpn-idle-timeout ہے، جو ایک گروپ پالیسی یا صارف کی پالیسی کے تحت مقرر کیا جاتا ہے، اور یہ مواصلاتی سرگرمی کے بغیر مدت کی پیمائش کرتا ہے۔ یونٹ منٹ ہے، ڈیفالٹ وراثت میں ملتا ہے، اور چیک سیشن پر ٹریفک کاؤنٹرز کے خلاف چلتا ہے بجائے اس کے کہ آپریٹنگ سسٹم ان پٹ ڈیوائسز کے بارے میں جانتا ہو۔ گیٹ وے کو کوئی اندازہ نہیں ہے کہ انسان کی بورڈ پر ہے یا نہیں۔ یہ جانتا ہے کہ اس نے آخری بار اس کلائنٹ کا پیکٹ کب دیکھا تھا۔
دوسری گھڑی وی پی این سیشن ٹائم آؤٹ ہے، اور یہ مطلق ہے۔ یہ اس وقت شروع ہوتا ہے جب سیشن قائم ہوتا ہے اور اس کی میعاد ختم ہوجاتی ہے قطع نظر اس کے کہ سرنگ کتنی ہی مصروف ہو۔ ایک سیشن جو بالکل ایک گھنٹہ کے بھاری استعمال کے بعد ختم ہوتا ہے وہ ٹائمر ہے، ایک بیکار ٹائمر نہیں، اور ٹائپنگ کی کوئی مقدار اس میں توسیع نہیں کرے گی۔
دونوں اقدار کو تبدیل کرنے سے پہلے پڑھیں، کیونکہ وہ ان طریقوں سے ناکام ہو جاتے ہیں جو صارف کی کرسی سے یکساں نظر آتے ہیں۔
تین مختلف گھڑیوں کو لوگ بیکار کہتے ہیں
تین غیر متعلقہ پالیسیوں کو بیکار ٹائمر کے طور پر بیان کیا گیا ہے، اور ان میں سے صرف ایک نیٹ ورک کی خاموشی کے بارے میں ہے۔
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
تیسری قطار وہ ہے جو لوگ اصل میں چاہتے ہیں جب وہ کہتے ہیں کہ VPN کو لاک کر دینا چاہیے جب کوئی چلا جائے۔ VPN ٹائمر موجودگی کی پیمائش نہیں کر سکتا۔ اگر ضرورت یہ ہے کہ ایک غیر حاضر لیپ ٹاپ رسائی کھو دیتا ہے، جو کہ اسکرین لاک اور ڈیوائس پالیسی میں شامل ہے، جہاں اسے پس منظر کی ٹریفک سے قطع نظر نافذ کیا جا سکتا ہے۔
تینوں کو ملانے سے تیس منٹ کے بغیر ٹائپنگ کے منقطع ہونے جیسی درخواستیں پیدا ہوتی ہیں، جسے کوئی بھی VPN گیٹ وے ایمانداری سے نافذ نہیں کر سکتا۔
اس کنکشن کی مالک پالیسی تلاش کریں
ترتیب تلاش کرنے سے پہلے کلائنٹ اور پروٹوکول کی شناخت کریں۔ بلٹ ان macOS Cisco IPsec پروفائل، ایک مقامی L2TP کنکشن اور Cisco Secure کلائنٹ ایک جیسے کنٹرولز کو بے نقاب نہیں کرتے ہیں، اور ان میں سے کسی ایک میں ڈسکنیکٹ-اگر-آئیڈیل چیک باکس کا اسکرین شاٹ دوسروں کے بارے میں ثبوت نہیں ہے۔ مقامی پروفائلز سرور، اکاؤنٹ اور مشترکہ راز سے کچھ زیادہ ہی بے نقاب کرتے ہیں۔ ٹائمر گیٹ وے پر رہتا ہے۔
ASA پر، سب کے لیے پہلے سے طے شدہ پالیسی کے بجائے صارف یا گروپ کے لیے موثر پالیسی پڑھیں:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERسیشن ڈیٹیل آؤٹ پٹ ان بیکار اور سیشن ٹائم آؤٹ کی فہرست بناتا ہے جو اصل میں لاگو کیے گئے تھے، باقی وقت کے ساتھ۔ یہ موثر پالیسی ہے، وراثت میں شامل ہے، جسے چلانے والا کنفگ اقتباس آپ کو نہیں بتا سکتا۔ اس کا موازنہ اس گروپ سے کریں جس کے بارے میں آپ کو یقین ہے کہ صارف جس میں ہے، کیونکہ صارف کی پالیسی گروپ کی پالیسی کو اوور رائیڈ کرتی ہے۔
آپ کا میک تیس منٹ کے بعد جڑا کیوں نظر آتا ہے
پس منظر کی ٹریفک معمول کا جواب ہے، اور یہ کوئی بگ نہیں ہے۔ میل، فوٹو سنک، ایک اپ ڈیٹ چیک، ایک چیٹ کلائنٹ جس میں ساکٹ کھلا ہو، یا ویب ساکٹ کے ساتھ ایک براؤزر ٹیب ہر ایک گیٹ وے کو سرگرمی کے طور پر شمار کرتا ہے۔ سرنگ قائم رہتی ہے کیونکہ یہ حقیقی طور پر استعمال ہو رہی ہے، نہ کہ آپ کے ذریعے۔ اگر آپ ثبوت چاہتے ہیں تو اسکرین کے بجائے کاؤنٹرز دیکھیں۔
مرر امیج وہ سیشن ہے جو آپ کے ٹائپ کرتے وقت گرتا ہے، جو سیشن کا ٹائم آؤٹ یا ایڈمنسٹریٹر کی پالیسی میں تبدیلی ہے، سستی نہیں۔
ایک کلائنٹ سائیڈ ایفیکٹ بھی جاننے کے قابل ہے۔ کچھ کلائنٹ اپنے کیپ لائیو یا ڈیڈ پیئر پروبس بھیجتے ہیں، اور وہ پیکٹ گیٹ وے کے بیکار کاؤنٹر کو دوبارہ ترتیب دیتے ہیں۔ یہی وجہ ہے کہ ٹائم آؤٹ کو شکست دینے کے لیے شامل کیا گیا کیپ لائیو کام کرتا ہے، اور یہ کیوں غلط ٹول ہے: یہ پالیسی کے پیچھے اجازت کی ضرورت کو تبدیل کیے بغیر ٹائمر کے دیکھے ثبوت کو تبدیل کرتا ہے۔
اس کے نقطہ کو توڑے بغیر دائیں نوب کو تبدیل کریں
اگر مقصد منظور شدہ نیٹ ورک کی غیرفعالیت کے بعد کنکشن کی کلاس کو ختم کرنا ہے، تو پالیسی کی زبان میں بالکل وہی مانگیں، اور سیشن کی زیادہ سے زیادہ مدت کو الگ اور جان بوجھ کر رکھیں۔ پھر اس کو ایڈمنسٹریٹر کے طریقہ کار کے تحت بیک گراؤنڈ ورک کے ساتھ جانچیں۔
اگر مقصد رسائی کو روکنا ہے جب کوئی شخص ڈیسک چھوڑتا ہے، تو VPN اسے نافذ کرنے کے لیے غلط پرت ہے۔
کسی سیشن کو ختم کرنے کے لیے لکھی گئی پالیسی کے بعد کسی سیشن کو زندہ رکھنے کے لیے کبھی بھی ٹریفک پیدا کرنے والا کیپ لائیو شامل نہ کریں۔ یہ ایک کنٹرول کو ایک رسمیت میں بدل دیتا ہے، اور یہ ٹکٹ کے بجائے آڈٹ میں پایا جاتا ہے۔ پالیسی تبدیل کریں، یا ضرورت کو تبدیل کریں۔