Bộ hẹn giờ VPN nhàn rỗi đếm lưu lượng truy cập, không phải hoạt động bàn phím

Bộ hẹn giờ ngắt kết nối phiên VPN nhàn rỗi đang đếm các gói chứ không phải tổ hợp phím. Nó quan sát thấy sự vắng mặt của liên lạc trên đường hầm, do đó, một máy tính xách tay có thư, một tác nhân dự phòng hoặc một ứng dụng trò chuyện ở chế độ nền sẽ không bao giờ trông như nhàn rỗi đối với nó. Thực tế đó giải thích cả hai hướng của lời phàn nàn thông thường: một phiên kéo dài sau một bữa trưa dài và một phiên kết thúc giữa lúc đang làm việc tích cực. Quyết định xem bạn đang sử dụng đồng hồ nào trước khi tìm cách cài đặt.

Những gì đồng hồ bấm giờ thực sự quan sát được

Trên Cisco ASA, núm xoay là vpn-idle-timeout, được đặt theo chính sách nhóm hoặc chính sách người dùng và đo khoảng thời gian không có hoạt động liên lạc. Đơn vị là phút, mặc định được kế thừa và quá trình kiểm tra chạy dựa trên bộ đếm lưu lượng trên phiên thay vì dựa trên bất cứ điều gì mà hệ điều hành biết về thiết bị đầu vào. Cổng không biết liệu có con người ở bàn phím hay không. Nó biết lần cuối cùng nó nhìn thấy một gói tin từ máy khách đó là khi nào.

Đồng hồ thứ hai là vpn-session-timeout và nó là tuyệt đối. Nó bắt đầu khi phiên được thiết lập và kết thúc bất kể đường hầm bận đến mức nào. Phiên kết thúc sau đúng một giờ sử dụng nhiều là bộ hẹn giờ đó, không phải bộ hẹn giờ nhàn rỗi và không có số lần gõ nào sẽ kéo dài thời gian đó.

Hãy đọc cả hai giá trị trước khi bạn thay đổi vì chúng không giống nhau khi nhìn từ ghế của người dùng.

Ba chiếc đồng hồ khác nhau mà mọi người gọi là nhàn rỗi

Ba chính sách không liên quan được mô tả là bộ hẹn giờ không hoạt động và chỉ một trong số đó là về chế độ im lặng của mạng.

Hàng thứ ba là hàng mà mọi người thực sự muốn khi họ nói rằng VPN sẽ khóa khi ai đó bỏ đi. Bộ hẹn giờ VPN không thể đo lường sự hiện diện. Nếu yêu cầu là máy tính xách tay không được giám sát sẽ mất quyền truy cập, điều đó thuộc về chính sách khóa màn hình và thiết bị, nơi yêu cầu này có thể được thực thi bất kể lưu lượng truy cập nền.

Việc kết hợp cả ba sẽ tạo ra các yêu cầu như ngắt kết nối sau ba mươi phút không gõ, điều mà không cổng VPN nào có thể thực hiện một cách trung thực.

Tìm chính sách sở hữu kết nối này

Xác định máy khách và giao thức trước khi bạn tìm kiếm cài đặt. Cấu hình Cisco IPsec của macOS tích hợp sẵn, kết nối L2TP gốc và Máy khách bảo mật của Cisco không hiển thị các điều khiển giống nhau và ảnh chụp màn hình hộp kiểm ngắt kết nối nếu không hoạt động ở một trong số chúng không phải là bằng chứng về những cái khác. Cấu hình gốc không tiết lộ nhiều thông tin ngoài máy chủ, tài khoản và bí mật chung. Bộ đếm thời gian tồn tại trên cổng.

Trên ASA, hãy đọc chính sách hiệu quả dành cho người dùng hoặc nhóm thay vì chính sách mặc định cho mọi người:

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

Đầu ra chi tiết phiên liệt kê thời gian chờ phiên không hoạt động và thời gian chờ đã thực sự được áp dụng, với thời gian còn lại. Đó là chính sách hiệu quả, bao gồm cả tính kế thừa, điều mà một đoạn trích trong Running-config không thể cho bạn biết. So sánh nó với nhóm mà bạn tin rằng có người dùng trong đó, vì chính sách người dùng sẽ ghi đè chính sách nhóm.

Tại sao máy Mac của bạn trông có vẻ được kết nối sau ba mươi phút

Lưu lượng truy cập nền là câu trả lời thông thường và đó không phải là lỗi. Thư, đồng bộ hóa ảnh, kiểm tra cập nhật, ứng dụng trò chuyện đang mở ổ cắm hoặc tab trình duyệt có ổ cắm web, mỗi tab sẽ tạo ra các gói mà cổng tính là hoạt động. Đường hầm vẫn tồn tại vì nó thực sự đang được sử dụng, không phải bởi bạn. Xem các quầy chứ không phải là màn hình nếu bạn muốn có bằng chứng.

Hình ảnh phản chiếu là phiên bị rớt khi bạn đang gõ, đó là thời gian chờ của phiên hoặc thay đổi chính sách của quản trị viên chứ không phải tình trạng nhàn rỗi.

Có một tác dụng phụ phía khách hàng cũng đáng để biết. Một số khách hàng gửi bản lưu giữ hoặc thăm dò mạng ngang hàng của riêng họ và các gói đó sẽ đặt lại bộ đếm nhàn rỗi của cổng. Đó là lý do tại sao một thủ tục được thêm vào để khắc phục thời gian chờ hoạt động và tại sao đó là công cụ sai: nó thay đổi bằng chứng mà bộ đếm thời gian nhìn thấy mà không thay đổi yêu cầu ủy quyền đằng sau chính sách.

Thay đổi núm bên phải mà không làm gãy điểm của nó

Nếu mục tiêu là kết thúc một lớp kết nối sau khi mạng không hoạt động được phê duyệt, hãy yêu cầu chính xác điều đó bằng ngôn ngữ chính sách và giữ thời lượng phiên tối đa dưới dạng một giá trị riêng biệt và có chủ ý. Sau đó kiểm tra nó theo quy trình của quản trị viên có tính đến công việc nền.

Nếu mục tiêu là dừng quyền truy cập khi một người rời khỏi bàn làm việc thì VPN không phải là lớp phù hợp để thực thi điều đó.

Không bao giờ thêm thủ tục tạo lưu lượng truy cập chỉ để duy trì phiên hoạt động sau chính sách được viết để kết thúc phiên đó. Điều đó biến việc kiểm soát thành một hình thức và nó được tìm thấy trong một cuộc kiểm tra chứ không phải trong một phiếu yêu cầu. Thay đổi chính sách hoặc thay đổi yêu cầu.