空闲 VPN 计时器计算流量，而不是键盘活动

断开空闲 VPN 会话的计时器正在对数据包进行计数，而不是对击键进行计数。它观察到隧道上没有通信，因此在后台运行邮件、备份代理或聊天客户端的笔记本电脑永远不会闲着。这一事实解释了通常抱怨的两个方向：一次会议在漫长的午餐后幸存下来，一次会议在积极的工作中结束。在寻找设置之前，先确定您要对抗的时钟。

计时器实际观察到的内容

在 Cisco ASA 上，旋钮是 vpn-idle-timeout，在组策略或用户策略下设置，它测量没有通信活动的时间段。单位是分钟，默认值是继承的，并且检查针对会话上的流量计数器而不是针对操作系统了解的有关输入设备的任何信息。网关不知道键盘上是否有人。它知道最后一次看到来自该客户端的数据包是什么时候。

第二个时钟是 vpn-session-timeout，它是绝对的。它在会话建立时启动并过期，无论隧道有多繁忙。在大量使用后正好一小时结束的会话是该计时器，而不是空闲计时器，并且无论输入多少内容都不会延长它。

在更改这两个值之前，请先阅读这两个值，因为从用户的椅子上看，它们的失败方式是相同的。

人们称之为空闲的三种不同的时钟

三种不相关的策略被描述为空闲计时器，其中只有一项与网络静默有关。

第三行是人们真正想要的，当他们说VPN应该在有人走开时锁定。VPN 计时器无法测量存在状态。如果要求无人值守的笔记本电脑失去访问权限，则属于屏幕锁定和设备策略，无论后台流量如何，都可以强制执行。

混合这三者会产生诸如三十分钟不打字后断开连接之类的请求，没有 VPN 网关可以诚实地实现这一点。

查找拥有此连接的策略

在寻找设置之前先确定客户端和协议。内置 macOS Cisco IPsec 配置文件、本机 L2TP 连接和 Cisco Secure Client 不公开相同的控件，并且其中一个中的“空闲时断开连接”复选框的屏幕截图并不能证明其他连接的证据。除了服务器、帐户和共享秘密之外，本机配置文件几乎不公开任何信息。计时器位于网关上。

在 ASA 上，读取用户或组的有效策略，而不是每个人的默认策略：：

show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USER

会话详细信息输出列出了实际应用的空闲和会话超时以及剩余时间。这是有效的策略，包括继承，运行配置摘录无法告诉您这一点。将其与您认为用户所在的组进行比较，因为用户策略会覆盖组策略。

为什么您的 Mac 在三十分钟后看起来已连接

后台流量是通常的答案，这不是一个错误。邮件、照片同步、更新检查、保持套接字打开的聊天客户端或带有 Websocket 的浏览器选项卡都会产生网关将其视为活动的数据包。隧道保持打开状态是因为它真正被使用，而不是被你使用。如果您想要证据，请观看计数器而不是屏幕。

镜像是在您打字时丢弃的会话，这是会话超时或管理员策略更改，而不是空闲。

还有一个值得了解的客户端效应。一些客户端发送自己的保活或失效对等探测，这些数据包会重置网关的空闲计数器。这就是为什么添加保活来击败超时会起作用，也是为什么它是错误的工具：它改变了计时器看到的证据，但没有改变策略背后的授权要求。

更换右侧旋钮，但不要损坏其尖端

如果目标是在批准的网络不活动后结束一类连接，请在策略语言中准确要求这一点，并将最大会话持续时间保留为单独且经过深思熟虑的值。然后在管理员程序下进行测试，并考虑后台工作。

如果目标是在人员离开办公桌时停止访问，则 VPN 是执行此操作的错误层。

切勿仅仅为了使会话在为结束会话而编写的策略之后保持活动状态而添加产生流量的保活。这将控制转化为形式，并且可以在审计中而不是在票证中找到它。改变政策，或者改变要求。