DCBA 保活机制

DCBA 保活机制保活机制 撰写人王吉忠审核人校对人 产品名称DCBA 产品版本V3 0 20070601 文档描述 描述了 DCBA 保活机制 替换 DCBA WEB 页面认证超时机制 20070802 doc 限制范围撰写时间2007 09 29 1 简述简述 DCBA WEB 页面认证与专用 Client 认证的保活机制不一样 2 WEB 页面认证保活机制页面认证保活机制 WEB 页面认证保活机制是通过认证成功之后出现的连接窗口来实现保活的 客户端通 过周期性 具体周期由 DCBA session echo interval 参数决定 地向 DCBA 发送保护报文 该报文报文目标地址为 DCBA 目标端口为 80 得到 DCBA 的响应后再断开此 TCP 连 接 一个 echo interval 周期后 再创建 TCP 80 连接进行保活并断开 如果因为客户端没有出现连接窗口或其它原因 导致 DCBA 在 session echo timeout 定 义的数值超时后还没有一次保活 则 DCBA 会对该用户进行强制下线动作 认证用户再打 开网页时会谈出认证窗口 针对部分浏览器可能会阻止连接窗口 导致认证 PC 与 DCBA 之间保活失效的情况 再加上一个检测流量机制 session idle chk enable 命令启用流量检测机制 如果保活失效 即在 session echo timout 定义范围内没有成功保活 则继续检测该用户上网数据速率在 统计时间范围内 由 session idle timeout 参数定义 是否小于设置阈值 由 session idle data 参数定义 如果小于该值 则认为用户已下线 DCBA 执行强制下线处理 如果 大于该值 则认为用户仍在线 不会断开此用户的认证连接 如果启用了流量检测机制 则即使在 echo timout 时间范围内保活成功 但按照流量检 测发现该 session 的流量低于阈值 则依然断开此 session 流量检测机制仅对 WEB 页面认证有效 对专用 Client 认证无效 3 专用专用 Client 认证的保活机制认证的保活机制 Clinet 认证的保活机制与 WEB 页面保活检测机制不一样 Clinet 认证成功后默认每 30s session echo interval 参数没有任何作用 主动向 DCBA 发送保活报文 UDP 报文 源端口为 3849 目标端口为 3848 DCBA 收到此报文后立刻 回应 完成一次保活 专用 Client 认证环境下 DCBA 与客户端都要检查对方是否依然工作 DCBA 在 session echo timeout 时间范围内没有收到认证客户端发过来的保活报文则对该 session 强制 下线处理 专用 Client 同样也检测 DCBA 是否回应了保活报文 在 230s 内如果没有收到 保活响应报文 则客户端主动断开认证连接 不管此时是否配置了 session idle chk enable 断开认证连接的报文为 UDP 报文 源端口 目的端口均为 3848 流量检测机制对专用 client 认证无效 如果 DCBA 与认证客户端保活正常 且配置了 session idle chk enable 则即使该 session 一定时间内 session idle timeout 的流量小于阈 值 session idle data DCBA 也不会主动断开该 session 专用 Client 客户端软件认证情况下 DCBA 与认证客户端均会监控保活情况 DCBA 判断依据仅 session echo timeout 参数 认证客户端判断依据固定在程序内部 为 230s 左 右 所以对于出现认证客户端在认证后启用 Cisco VPN Client 的情况 该 VPN Client 会修 改系统的路由实现 使得所有的报文均从 VPN 接口发送出去 即使目标地址是物理网卡的 同一网段 IP 地址 就没有办法解决 3 分钟左右短线的问题 变通的解决办法是在该 PC 上启用 WEB 页面认证 配合流量检测机制 未验证此解决方法 4 WEB 页面认证常见问题页面认证常见问题 现对常见的浏览器使用中的情况进行总结 1 IE 方式下 认证窗口和连接窗口均能够出现 则认证后 默认 60s session echo interval 参数决定 客户端和 DCBA 进行一次保活处理 客户端主动发送保活报文至 DCBA 该保活报文是加密方式的 DCBA 收到该保活报文给客户端进行回应 2 Mozilla 方式下 认证窗口可以单出 但连接窗口不能出现 则认证后 默认 180s 断线 可以通过 session echo timeout 命令设置长时间没有保活后断开连接 期间如果想 断开网络连接 则需要配置 set spec logout on 此时您在浏览器中输入页面地址 http 1 1 1 1 该地址为默认的 logout 地址 可以通过命令 set logout ip 修改该地址 在弹出的连接窗口中就可以断开连接 3 有时用户可能很不习惯或者根本就忘记通过打开 spec logout 网页断开连接 则此时需 要配合会话流量检测机制来判断用户是否还在使用网络 session idle chk enable session idle timeout 3 session idle data 1 上述三个命令分别表示 打开会话流量检测机制 会话流量检测的间隔是 3 分钟 在定 义的间隔时间内如果该会话流量小于定义值 1KB s DCBA 则会主动断开该会话 就是 自动删除该用户建立的 session 5 如何使得各浏览器能够弹出认证窗口及如何使得各浏览器能够弹出认证窗口及 连接窗口连接窗口 1 IE 6 0 IE 页面菜单 工具 弹出窗口阻止程序 关闭弹出窗口阻止程序 页面如下 2 Mozilla 菜单栏 工具 选项 内容页面 选择 阻止弹出窗口 对应的 例外 E 选项 如图 将 DCBA 的地址 示例为 192 168 1 100 加入到允许站点中 如图 3 Maxthon 默认情况下认证窗口可以弹出 连接窗口被阻止 有两种办法可以一次性解决连接窗 口弹出问题 一 当连接窗口被阻止时 出现如下窗口 此时可以点击 block list 栏选择 Allow Popups 从而今后可以可以弹出 连接窗口 二 在知道 DCBA