Levar unha VPN de traballo aos Emiratos Árabes Unidos: que confirmar primeiro

Comece unha viaxe de traballo cunha pregunta máis estreita que a de se o software VPN está permitido en xeral. A pregunta útil é a que sistema privado necesita chegar, a través de que pasarela da empresa e quen dá soporte ao dispositivo se o túnel non levanta. Todo o demais sobre a conectividade é unha segunda conversa, e mesturar as dúas produce un plan que non responde a ningunha. Un plan escrito sepáraas.

Que cubre realmente o caso de uso documentado

O regulador de telecomunicacións dos EAU, a TDRA, publica Directrices de internet que abordan o uso organizativo da tecnoloxía VPN para chegar a redes internas, xunto cunha discusión separada sobre o filtrado de contidos e os servizos de comunicacións. Son temas distintos. Unha empresa que chega á súa propia intranet a través da súa propia pasarela é un caso de uso organizativo descrito, non unha declaración xeral sobre cada servizo que un viaxeiro poida usar. Tampouco é unha opinión xurídica sobre a súa viaxe concreta, e lelo como calquera das dúas cousas é onde comezan a maioría dos debates sobre este tema.

Lea as directrices publicadas directamente en lugar dun resumo, e trate esta páxina como unha lista de comprobación de planificación e non como un consello sobre a súa posición xurídica. Para todo o que quede fóra do caso documentado de acceso interno, as preguntas corresponden a un avogado local cualificado e á política de viaxes do seu empregador.

Asigne o traballo a unha pasarela concreta

Anote os sistemas que realmente necesita: a intranet, un almacén de documentos, a aplicación interna que non existe fóra da rede da empresa. Despois faga dúas preguntas a TI: que pasarela aprobada dá servizo a eses sistemas e se o perfil de viaxe altera algo máis do dispositivo. A resposta adoita ser máis específica do que suxire o nome do perfil.

Algunhas organizacións publican unha pasarela de viaxe dedicada cun certificado distinto ou un paso de autenticación distinto; outras esperan que use o perfil ordinario, que pode encamiñar todo o tráfico e non só os rangos corporativos. O nome do perfil raramente di cal é. Pregunte, ou lea a táboa de encamiñamento unha vez conectado.

Saber cal ten cambia o que debería esperar. Un perfil de túnel completo envía tamén a súa navegación habitual a través da empresa, o que pode ser exactamente o que pretende o empregador e sen dúbida algo que cómpre entender antes da viaxe e non durante. Tamén identifica a vía de soporte, porque a persoa que pode reemitir un certificado ou restablecer unha conta adoita estar dispoñible en horario laboral nunha zona horaria. Iso importa máis que a versión do cliente.

Que fai o perfil co resto do seu tráfico

Un perfil de túnel dividido só transporta os prefixos corporativos; un perfil de túnel completo transporta todo. Ningún é intrinsecamente mellor, pero só un encaixa co caso concreto de acceso interno, e a diferenza é unha decisión de configuración que a súa organización xa tomou. Pode ler o resultado no dispositivo en lugar de adiviñalo polo nome do perfil:

ip -4 route
ip -4 route get 10.20.4.10
nmcli connection show --active

O segundo comando mostra que interface levaría o tráfico a un enderezo corporativo. Se os seus destinos habituais tamén se resolven a través do túnel, o perfil é de túnel completo, e calquera expectativa de que a navegación habitual quede fóra é errónea. Mellor descubrilo antes da viaxe que durante unha chamada.

O DNS segue a mesma lóxica. O resolutor que empurra o túnel decide a onde van os nomes, e unha configuración dividida pode enviar os nomes internos á empresa e todo o demais ao resolutor local, ou o contrario segundo como se construíse. Comprobe que resolutor usa realmente o dispositivo despois de conectarse, non cal prometeu o perfil. Unha consulta dun nome interno desde unha rede de hotel é a forma máis rápida de ver a diferenza.

Prepare a vía de fallo antes de voar

Dea por feito que o túnel non conectará ao primeiro intento desde unha rede de hotel, e decida de antemán que fará. Iso significa a alternativa aprobada que apoia o seu equipo de TI, o contacto que pode axudar en distintas zonas horarias e o número local do dispositivo se a autenticación depende dun teléfono. Escribir eses tres é a diferenza entre un plan e unha intención.

Probe os pasos de autenticación e recuperación admitidos antes de viaxar, incluído calquera segundo factor que requira un dispositivo rexistrado. Un factor que necesita un número de itinerancia que non activou é un fallo que pode prever hoxe e non pode arranxar no aeroporto. Probe tamén a alternativa, non só a vía principal, e fágao desde unha rede que non sexa a LAN da súa oficina. Unha alternativa que ninguén probou é unha esperanza, non un plan.

Manteña a alternativa dentro das opcións aprobadas pola organización. Unha saída pública improvisada non é unha vía de soporte, e non é unha decisión que se tome só nunha habitación de hotel. Se a alternativa aprobada tamén falla, o seguinte paso correcto é o contacto de soporte, non unha saída distinta.

Conserve o rexistro e volva comprobalo

Garde o plan onde o vaia atopar: o nome da pasarela, o contacto admitido, os sistemas que necesitaba e a data en que comprobou as directrices do regulador. As directrices e a política organizativa cambian, e unha nota con data vale máis que un recordo. Tamén fai máis barato planificar a seguinte viaxe.

Despois revise o plan nas partes que non teñen nada que ver coa tecnoloxía: que fará se un servizo que esperaba non está dispoñible e quen decide se a viaxe segue adiante. Esas respostas adoitan telas unha persoa, non un axuste do cliente.