Emporter un VPN professionnel aux Émirats arabes unis : ce qu’il faut confirmer d’abord

Commencez un déplacement professionnel par une question plus étroite que celle de savoir si un logiciel VPN est autorisé en général. La question utile est quel système privé vous devez joindre, par quelle passerelle d’entreprise, et qui prend en charge l’appareil si le tunnel ne monte pas. Tout le reste sur la connectivité est une seconde conversation, et mélanger les deux produit un plan qui ne répond à aucune. Un plan écrit les sépare.

Ce que le cas d’usage documenté couvre réellement

Le régulateur des télécommunications des Émirats arabes unis, la TDRA, publie Lignes directrices pour l’internet qui traitent de l’usage organisationnel de la technologie VPN pour joindre des réseaux internes, aux côtés d’une discussion distincte sur le filtrage des contenus et les services de communication. Ce sont des sujets différents. Une entreprise qui joint son propre intranet par sa propre passerelle est un cas d’usage organisationnel décrit, non une déclaration générale sur chaque service qu’un voyageur pourrait utiliser. Ce n’est pas non plus un avis juridique sur votre voyage précis, et le lire comme l’un ou l’autre est là où commencent la plupart des débats sur ce sujet.

Lisez les lignes directrices publiées directement plutôt qu’un résumé, et traitez cette page comme une liste de vérification de planification, non comme un conseil sur votre situation juridique. Pour tout ce qui sort du cas documenté d’accès interne, les questions relèvent d’un conseil juridique local qualifié et de la politique de voyage de votre employeur.

Rattachez le travail à une passerelle précise

Notez les systèmes dont vous avez réellement besoin : l’intranet, un stockage documentaire, l’application interne qui n’existe pas hors du réseau de l’entreprise. Posez ensuite deux questions à l’informatique : quelle passerelle approuvée dessert ces systèmes, et si le profil de voyage modifie autre chose sur l’appareil. La réponse est généralement plus précise que ne le suggère le nom du profil.

Certaines organisations publient une passerelle de voyage dédiée avec un certificat différent ou une étape d’authentification différente ; d’autres attendent que vous utilisiez le profil ordinaire, qui peut acheminer tout le trafic et pas seulement les plages d’entreprise. Le nom du profil dit rarement lequel. Demandez, ou lisez la table de routage une fois connecté.

Savoir lequel vous avez change ce que vous devez attendre. Un profil de tunnel complet fait aussi passer votre navigation ordinaire par l’entreprise, ce qui peut être exactement ce que l’employeur veut et qui est certainement à comprendre avant le voyage plutôt que pendant. Il identifie aussi le canal de support, car la personne qui peut réémettre un certificat ou réinitialiser un compte est généralement joignable pendant les heures ouvrées dans un fuseau horaire. Cela compte plus que la version du client.

Ce que le profil fait au reste de votre trafic

Un profil de tunnel divisé ne transporte que les préfixes d’entreprise ; un profil de tunnel complet transporte tout. Aucun n’est intrinsèquement meilleur, mais un seul correspond au cas étroit d’accès interne, et la différence est une décision de configuration que votre organisation a déjà prise. Vous pouvez lire le résultat sur l’appareil plutôt que de le deviner d’après le nom du profil :

ip -4 route
ip -4 route get 10.20.4.10
nmcli connection show --active

La seconde commande montre quelle interface transporterait le trafic vers une adresse d’entreprise. Si vos destinations ordinaires passent aussi par le tunnel, le profil est un tunnel complet, et toute attente que la navigation ordinaire reste en dehors est fausse. Mieux vaut le découvrir avant le voyage que pendant un appel.

Le DNS suit la même logique. Le résolveur poussé par le tunnel décide où vont les noms, et une configuration divisée peut envoyer les noms internes à l’entreprise et tout le reste au résolveur local, ou l’inverse selon la façon dont elle a été construite. Vérifiez quel résolveur l’appareil utilise réellement après connexion, non celui que le profil a promis. Une requête sur un nom interne depuis un réseau d’hôtel est le moyen le plus rapide de voir la différence.

Préparez le chemin d’échec avant de partir

Partez du principe que le tunnel ne se connectera pas du premier coup depuis un réseau d’hôtel, et décidez à l’avance de ce que vous ferez. Cela signifie l’alternative approuvée que votre équipe informatique prend en charge, le contact qui peut aider sur plusieurs fuseaux horaires et le numéro local de l’appareil si l’authentification dépend d’un téléphone. Écrire ces trois éléments est la différence entre un plan et une intention.

Testez les étapes d’authentification et de récupération prises en charge avant le voyage, y compris tout second facteur qui exige un appareil enregistré. Un facteur qui nécessite un numéro d’itinérance que vous n’avez pas activé est une défaillance que vous pouvez prévoir aujourd’hui et que vous ne pourrez pas corriger à l’aéroport. Testez aussi l’alternative, pas seulement le chemin principal, et faites-le depuis un réseau qui n’est pas le LAN de votre bureau. Une alternative que personne n’a essayée est un espoir, pas un plan.

Gardez l’alternative dans les options approuvées de l’organisation. Une sortie publique improvisée n’est pas un canal de support, et ce n’est pas une décision à prendre seul dans une chambre d’hôtel. Si l’alternative approuvée échoue aussi, la prochaine étape correcte est le contact de support, pas une autre sortie.

Conservez la trace et revérifiez-la

Enregistrez le plan là où vous le retrouverez : le nom de la passerelle, le contact pris en charge, les systèmes dont vous aviez besoin et la date à laquelle vous avez vérifié les lignes directrices du régulateur. Les lignes directrices et la politique organisationnelle changent, et une note datée vaut mieux qu’un souvenir. Elle rend aussi la planification du prochain voyage moins coûteuse.

Passez ensuite le plan en revue pour les parties qui ne relèvent pas du tout de la technologie — ce que vous ferez si un service attendu est indisponible, et qui décide si le voyage a lieu. Ces réponses sont généralement détenues par une personne, pas par un réglage du client.