Рабочы VPN у ААЭ: што трэба ўдакладніць перш за ўсё

Пачніце рабочую паездку з больш вузкага пытання, чым тое, ці дазволена праграма VPN увогуле. Карыснае пытанне — якая прыватная сістэма вам патрэбна, праз які карпаратыўны шлюз і хто падтрымлівае прыладу, калі тунель не ўзнімецца. Усё астатняе пра злучэнне — гэта другая размова, і змешванне двух дае план, які не адказвае ні на адно. Пісьмовы план раздзяляе іх.

Што насамрэч ахоплівае апісаны сцэнар выкарыстання

Тэлекамунікацыйны рэгулятар ААЭ, TDRA, публікуе Кіраўніцтва па інтэрнэце, якое разглядае арганізацыйнае выкарыстанне тэхналогіі VPN для доступу да ўнутраных сетак, разам з асобным абмеркаваннем фільтрацыі змесціва і службаў сувязі. Гэта розныя тэмы. Кампанія, якая дасягае ўласнага інтранэта праз уласны шлюз, — гэта апісаны арганізацыйны сцэнар, а не агульнае сцвярджэнне пра любую паслугу, якой можа скарыстацца падарожнік. Гэта таксама не юрыдычная думка пра вашу канкрэтную паездку, і чытанне гэтага як любога з двух — менавіта там пачынаецца большасць спрэчак на гэтую тэму.

Чытайце апублікаванае кіраўніцтва напрамую, а не пераказ, і ўспрымайце гэтую старонку як кантрольны спіс для планавання, а не як параду пра ваша прававое становішча. Усё, што выходзіць за апісаны выпадак унутранага доступу, — гэта пытанні да кваліфікаванага мясцовага юрыста і да палітыкі паездак вашага працадаўцы.

Прывяжыце працу да пэўнага шлюза

Запішыце сістэмы, якія вам сапраўды патрэбны: інтранэт, сховішча дакументаў, унутраная праграма, якой не існуе па-за сеткай кампаніі. Затым задайце ІТ два пытанні: які зацверджаны шлюз абслугоўвае гэтыя сістэмы і ці змяняе паездачны профіль што-небудзь яшчэ ў прыладзе. Адказ звычайна больш канкрэтны, чым мяркуе назва профілю.

Некаторыя арганізацыі публікуюць спецыяльны паездачны шлюз з іншым сертыфікатам або іншым крокам аўтэнтыфікацыі; іншыя чакаюць, што вы будзеце карыстацца звычайным профілем, які можа накіроўваць увесь трафік, а не толькі карпаратыўныя дыяпазоны. Назва профілю рэдка кажа, які менавіта. Спытайцеся або прачытайце табліцу маршрутызацыі пасля падключэння.

Веданне таго, які з іх у вас, змяняе тое, чаго трэба чакаць. Профіль поўнага тунелю накіроўвае ваша звычайнае агляданне таксама праз кампанію, і гэта можа быць менавіта тое, чаго хоча працадаўца, і напэўна тое, што варта зразумець да паездкі, а не падчас яе. Ён таксама вызначае шлях падтрымкі, бо чалавек, які можа перавыдаць сертыфікат або скінуць уліковы запіс, звычайна даступны ў працоўны час у адным часовым поясе. Гэта важней за версію кліента.

Што профіль робіць з астатнім вашым трафікам

Профіль раздзеленага тунелю нясе толькі карпаратыўныя прэфіксы; профіль поўнага тунелю нясе ўсё. Ні адзін з іх не лепшы сам па сабе, але толькі адзін адпавядае вузкаму сцэнару ўнутранага доступу, і розніца — гэта рашэнне пра канфігурацыю, якое ваша арганізацыя ўжо прыняла. Вы можаце прачытаць вынік на прыладзе, а не здагадвацца па назве профілю:

ip -4 route
ip -4 route get 10.20.4.10
nmcli connection show --active

Другая каманда паказвае, які інтэрфейс панясе трафік да карпаратыўнага адраса. Калі вашыя звычайныя пункты прызначэння таксама вырашаюцца праз тунель, профіль — поўны тунель, і любое чаканне, што звычайнае агляданне застанецца па-за ім, памылковае. Лепш выявіць гэта да паездкі, чым падчас званка.

DNS ідзе па той жа логіцы. Рэзалвер, прасунуты тунелем, вырашае, куды ідуць імёны, і раздзеленая канфігурацыя можа адпраўляць унутраныя імёны ў кампанію, а ўсё астатняе — да мясцовага рэзалвера, або наадварот, у залежнасці ад таго, як яна пабудавана. Праверце, які рэзалвер прылада фактычна выкарыстоўвае пасля падключэння, а не які абяцаў профіль. Пошук унутранага імя з гатэльнай сеткі — самы хуткі спосаб убачыць розніцу.

Падрыхтуйце шлях адмовы да палёту

Меркавайце, што тунель не падключыцца з першай спробы з гатэльнай сеткі, і загадзя вырашыце, што будзеце рабіць. Гэта азначае зацверджаны запасны варыянт, які падтрымлівае ваша ІТ-каманда, кантакт, які можа дапамагчы праз часовыя паясы, і мясцовы нумар для прылады, калі аўтэнтыфікацыя залежыць ад тэлефона. Запісаць гэтыя тры рэчы — гэта розніца паміж планам і намерам.

Праверце падтрымліваныя крокі аўтэнтыфікацыі і аднаўлення да паездкі, уключна з любым другім фактарам, які патрабуе зарэгістраванай прылады. Фактар, якому патрэбны нумар роўмінгу, якога вы не актывавалі, — гэта збой, які можна прадбачыць сёння і нельга выправіць у аэрапорце. Праверце таксама запасны варыянт, а не толькі асноўны шлях, і зрабіце гэта з сеткі, якая не з'яўляецца вашай офіснай лакальнай сеткай. Запасны варыянт, які ніхто не паспрабаваў, — гэта надзея, а не план.

Трымайце запасны варыянт у межах зацверджаных варыянтаў арганізацыі. Імправізаваны публічны выхад — не шлях падтрымкі, і гэта не рашэнне, якое прымаюць сам-насам у гатэльным нумары. Калі зацверджаны запасны варыянт таксама не спрацуе, правільны наступны крок — кантакт падтрымкі, а не іншы выхад.

Захоўвайце запіс і пераправярайце яго

Захавайце план там, дзе знойдзеце: назву шлюза, падтрымліваемы кантакт, патрэбныя вам сістэмы і дату, калі вы правяралі кіраўніцтва рэгулятара. Кіраўніцтва і арганізацыйная палітыка змяняюцца, і нататка з датай каштоўнейшая за памяць. Гэта таксама робіць планаванне наступнай паездкі таннейшым.

Затым перагледзьце план наконт частак, якія зусім не пра тэхналогіі — што вы будзеце рабіць, калі паслуга, якую вы чакалі, недаступная, і хто вырашае, ці працягваць паездку. Гэтыя адказы звычайна трымае чалавек, а не налада кліента.