Arbeits-VPN im Ausland: Genehmigung, Weg und Anmeldewiederherstellung

Der Tunnel kommt im Hotelzimmer hoch, das Symbol wird grün, und die erste interne Anwendung läuft in eine Zeitüberschreitung. Inzwischen steckt die Telefonnummer, die den Anmeldecode empfängt, in einer SIM-Karte, die bei der Landung des Flugzeugs aufgehört hat zu funktionieren. Das VPN war verbunden, und die Arbeit scheiterte trotzdem, weil drei getrennte Fragen zu einem einzigen Test zusammengelegt worden waren. Beantworten Sie sie in der Reihenfolge unten, und die Reise hört auf, ein Experiment zu sein.

Genehmigung ist nicht dasselbe wie Konnektivität

Dass ein Arbeitgeber Arbeit aus einem anderen Land erlaubt, dass ein Kunde dort einen Tunnel aufbaut und dass ein Identitätsanbieter die Anmeldung annimmt, sind drei verschiedene Ergebnisse. Jedes gehört zu einem anderen Teil der Organisation, und jedes kann scheitern, während die beiden anderen gelingen. Ein schneller erfolgreicher Test sagt Ihnen nur, dass der Netzwerkweg in diesem Moment funktioniert hat.

Deshalb ist ein grünes Symbol während eines Probelaufs ein so irreführender Beweis: Es beantwortet die technische Frage und lässt die Richtlinie, die Abhängigkeiten der Anwendungen und den Wiederherstellungsweg genau dort, wo sie waren. Behandeln Sie den Test als eine von drei Antworten, nicht als die ganze Überprüfung.

Lassen Sie zuerst den Arbeitsort genehmigen

Nennen Sie der zuständigen Kontaktperson den beabsichtigten Ort, die Daten, das Gerät und die anfallende Arbeit. Fragen Sie, welche Ausstattung erwartet wird, wie mit den Daten umgegangen werden darf und wer Sie unterstützt, während Sie weg sind. Fragen zu Beschäftigung, Steuern und Zuständigkeit gehören der Person, die diese Fragen verantwortet, nicht der Person, die VPN-Konten ausstellt. Halten Sie die Antwort an einer Stelle fest, die Sie auf der Reise erreichen können.

Holen Sie die tatsächliche Antwort der Organisation schriftlich ein. Ein Forumsbeitrag über die Beschränkungen eines anderen Arbeitgebers oder der Bericht einer Kollegin über einen Grenzübertritt können Ihre Richtlinie nicht festlegen. Eine Anekdote als Genehmigung zu behandeln, ist der Weg, auf dem Menschen am Ende einem Vorgesetzten eine nicht genehmigte Reise erklären.

Üben Sie den tatsächlichen Verbindungsweg

Bestätigen Sie mit der IT den unterstützten Client, das Profil, den Endpunkt und das Transportprotokoll, und listen Sie dann die privaten Anwendungen und Namen auf, die die Arbeit wirklich braucht. Ein Tunnelsymbol beweist nicht, dass davon etwas erreichbar ist, und ein interner Name, der erst nach der Verbindung aufgelöst wird, ist eine konkrete Abhängigkeit, die es wert ist, vor der Abreise festgehalten zu werden. Gruppieren Sie die Abhängigkeiten nach Anwendung, damit eine fehlende schon in der Planung auffällt und nicht am ersten Morgen. Jeder Punkt dieser Liste kann unabhängig ausfallen.

Bitten Sie um einen genehmigten Test, statt einen zu improvisieren. Eine Verbindung von zu Hause über einen unabhängigen ausländischen Ausgang ist keine Probe für Hotel-WLAN, einen mobilen Hotspot, die Aktualisierung eines verwalteten Geräts oder ein Captive Portal. Einen nicht genehmigten verschachtelten Tunnel zu bauen, damit der Test ausländisch aussieht, ändert die Vereinbarung, statt sie zu prüfen, und bringt den Test in einen Zustand, den niemand überprüft hat.

Halten Sie das genehmigte Profil und die nicht geheimen Support-Anweisungen offline verfügbar, und wenn vor dem Datenfluss ein lokaler Zulassungsschritt nötig ist, verwenden Sie dessen dokumentiertes Verfahren und lassen Sie die Sperrrichtlinie bestehen, die die Organisation festgelegt hat. Ein Umweg, der eine Kontrolle abschaltet, um online zu kommen, ist eine Änderung der Vereinbarung, keine Behebung.

Halten Sie die Anmeldewiederherstellung unabhängig

Fragen Sie, ob Standort, Gerätezustand oder eine andere kontextuelle Bedingung die Zulassung beeinflussen, und bestätigen Sie, dass der Authenticator und der Wiederherstellungsprozess auch auf Reisen verfügbar bleiben. Nehmen Sie nicht an, dass eine geänderte Quelladresse einen Alarm auslöst oder dass eine genehmigte Reise jede Sicherheitsprüfung beseitigt. Beide Annahmen führen im schlechtesten Moment zur selben Überraschung.

Notieren Sie, an wen Sie sich bei abgelehnter Anmeldung, verlorenem Authenticator oder unerreichbarem Dienst wenden. VPN-Betreiber, Identitätsverwaltung und Anwendungsverantwortliche lösen unterschiedliche Stufen, und ein Wiederherstellungsweg, der ganz von dem VPN abhängt, das Sie nicht erreichen, ist kein Rückfallweg. Ein zweiter Kontaktweg, der den ausgefallenen Pfad nicht teilt, ist das Minimum. Vereinbaren Sie diesen Kanal vor der Abreise, nicht nachdem die Anmeldung gescheitert ist.

Der Planungsleitfaden von EFF beginnt damit, was und vor wem geschützt wird, dann mit dem Aufwand und der verfügbaren Hilfe. Hier angewendet, benennt der Plan die Arbeit und ihre Abhängigkeiten, bevor er eine Technik wählt, um die Adresse zu ändern, die ein Beobachter sieht. Diese Reihenfolge hält die technische Wahl dem tatsächlichen Bedarf untergeordnet.

Hinterlassen Sie eine kurze Übergabenotiz: genehmigte Vereinbarung, Gerät und Profil, benötigte Anwendungen, Testergebnis und eine Support-Kontaktperson, die nicht auf derselben Verbindung ist. Halten Sie Passwörter, private Schlüssel und Wiederherstellungscodes aus einer geteilten Reiseplanung heraus, und wenn während Ihrer Abwesenheit eine Warnung erscheint, melden Sie den tatsächlichen Fehler über diesen Kanal, statt Routen zu wechseln, um zu verbergen, wo Sie sind.