Ein Arbeits-VPN in die VAE mitnehmen: was zuerst zu klären ist

Beginnen Sie eine Dienstreise mit einer engeren Frage als der, ob VPN-Software allgemein erlaubt ist. Nützlich ist die Frage, welches private System Sie erreichen müssen, über welches Firmen-Gateway, und wer das Gerät unterstützt, wenn der Tunnel nicht hochkommt. Alles Weitere zur Konnektivität ist ein zweites Gespräch, und beides zu vermischen ergibt einen Plan, der keins von beidem beantwortet. Ein schriftlicher Plan trennt sie.

Was der dokumentierte Anwendungsfall tatsächlich abdeckt

Die Telekomregulierungsbehörde der VAE, TDRA, veröffentlicht Internetleitlinien, die die organisatorische Nutzung von VPN-Technik für den Zugang zu internen Netzen behandeln, daneben eine getrennte Erörterung von Inhaltsfilterung und Kommunikationsdiensten. Das sind verschiedene Themen. Ein Unternehmen, das sein eigenes Intranet über sein eigenes Gateway erreicht, ist ein beschriebener organisatorischer Anwendungsfall, keine pauschale Aussage über jeden Dienst, den ein Reisender nutzen könnte. Es ist auch keine Rechtsauskunft zu Ihrer konkreten Reise, und es als eines von beidem zu lesen, ist der Punkt, an dem die meisten Debatten zu diesem Thema beginnen.

Lesen Sie die veröffentlichten Leitlinien direkt statt einer Zusammenfassung, und behandeln Sie diese Seite als Planungscheckliste, nicht als Rat zu Ihrer Rechtslage. Für alles außerhalb des dokumentierten Falls des internen Zugangs gehören die Fragen zu qualifiziertem örtlichem Rechtsbeistand und zur Reiserichtlinie Ihres Arbeitgebers.

Ordnen Sie die Arbeit einem bestimmten Gateway zu

Schreiben Sie die Systeme auf, die Sie wirklich brauchen: das Intranet, einen Dokumentenspeicher, die interne Anwendung, die außerhalb des Firmennetzes nicht existiert. Stellen Sie der IT dann zwei Fragen: Welches freigegebene Gateway bedient diese Systeme, und ändert das Reiseprofil sonst etwas am Gerät. Die Antwort ist meist konkreter, als der Profilname vermuten lässt.

Manche Organisationen veröffentlichen ein eigenes Reise-Gateway mit anderem Zertifikat oder anderem Authentifizierungsschritt; andere erwarten, dass Sie das normale Profil verwenden, das den gesamten Verkehr statt nur der Firmenbereiche leiten kann. Der Profilname verrät selten, welches. Fragen Sie nach, oder lesen Sie die Routing-Tabelle, sobald Sie verbunden sind.

Zu wissen, welches Sie haben, ändert Ihre Erwartungen. Ein Volltunnel-Profil schickt auch Ihr gewöhnliches Browsen durch das Unternehmen, was vielleicht genau das ist, was der Arbeitgeber will, und jedenfalls etwas, das man vor der Reise verstehen sollte und nicht währenddessen. Es bestimmt auch den Supportweg, denn wer ein Zertifikat neu ausstellen oder ein Konto zurücksetzen kann, ist meist zu Geschäftszeiten in einer Zeitzone erreichbar. Das ist wichtiger als die Clientversion.

Was das Profil mit dem Rest Ihres Verkehrs macht

Ein Split-Tunnel-Profil trägt nur die Firmenpräfixe; ein Volltunnel-Profil trägt alles. Keines ist von Natur aus besser, aber nur eines passt zum engen Fall des internen Zugangs, und der Unterschied ist eine Konfigurationsentscheidung, die Ihre Organisation bereits getroffen hat. Sie können das Ergebnis am Gerät ablesen, statt es aus dem Profilnamen zu erraten:

ip -4 route
ip -4 route get 10.20.4.10
nmcli connection show --active

Der zweite Befehl zeigt, welche Schnittstelle den Verkehr zu einer Firmenadresse tragen würde. Wenn auch Ihre gewöhnlichen Ziele über den Tunnel aufgelöst werden, ist das Profil ein Volltunnel, und jede Erwartung, dass gewöhnliches Browsen außerhalb bleibt, ist falsch. Besser, das vor der Reise zu entdecken als während eines Anrufs.

DNS folgt derselben Logik. Ein vom Tunnel vorgegebener Resolver entscheidet, wohin Namen gehen, und eine geteilte Konfiguration kann interne Namen zum Unternehmen und alles andere zum lokalen Resolver schicken, oder umgekehrt, je nachdem, wie sie gebaut wurde. Prüfen Sie, welchen Resolver das Gerät nach dem Verbinden tatsächlich nutzt, nicht welchen das Profil versprochen hat. Eine Abfrage eines internen Namens aus einem Hotelnetz ist der schnellste Weg, den Unterschied zu sehen.

Bereiten Sie den Fehlerweg vor, bevor Sie fliegen

Gehen Sie davon aus, dass der Tunnel aus einem Hotelnetz nicht beim ersten Versuch verbindet, und entscheiden Sie vorher, was Sie tun. Das heißt der freigegebene Fallback, den Ihr IT-Team unterstützt, der Kontakt, der über Zeitzonen hinweg helfen kann, und die lokale Nummer für das Gerät, wenn die Authentifizierung von einem Telefon abhängt. Diese drei aufzuschreiben ist der Unterschied zwischen einem Plan und einer Absicht.

Testen Sie die unterstützten Authentifizierungs- und Wiederherstellungsschritte vor der Reise, einschließlich jedes zweiten Faktors, der ein registriertes Gerät verlangt. Ein Faktor, der eine Roamingnummer braucht, die Sie nicht aktiviert haben, ist ein Fehler, den Sie heute vorhersagen und am Flughafen nicht beheben können. Testen Sie auch den Fallback, nicht nur den primären Weg, und zwar aus einem Netz, das nicht Ihr Büro-LAN ist. Ein Fallback, den niemand probiert hat, ist eine Hoffnung, kein Plan.

Halten Sie den Fallback innerhalb der freigegebenen Optionen der Organisation. Ein improvisierter öffentlicher Ausgang ist kein Supportweg, und es ist keine Entscheidung, die man allein im Hotelzimmer trifft. Wenn auch der freigegebene Fallback scheitert, ist der richtige nächste Schritt der Supportkontakt, nicht ein anderer Ausgang.

Bewahren Sie den Eintrag auf und prüfen Sie ihn erneut

Speichern Sie den Plan dort, wo Sie ihn finden: den Gateway-Namen, den unterstützten Kontakt, die benötigten Systeme und das Datum, an dem Sie die Leitlinien der Behörde geprüft haben. Leitlinien und Organisationspolitik ändern sich, und eine Notiz mit Datum ist mehr wert als eine Erinnerung. Sie macht auch die nächste Reise billiger zu planen.

Prüfen Sie den Plan dann auf die Teile, die gar nichts mit Technik zu tun haben — was Sie tun, wenn ein erwarteter Dienst nicht verfügbar ist, und wer entscheidet, ob die Reise stattfindet. Diese Antworten liegen meist bei einer Person, nicht bei einer Clienteinstellung.