VPN לעבודה מחוץ לארץ: אישור, נתיב ושחזור התחברות
מנהרה שמתחברת אינה מוכיחה דבר על הרשאה. הפרידו בין המיקום המאושר, הנתיב האמיתי ונתיב שחזור שאינו צריך את ה-VPN.
המנהרה עולה בחדר המלון, הסמל הופך לירוק, והיישום הפנימי הראשון נגמר בזמן. בינתיים מספר הטלפון שמקבל את קוד ההתחברות נמצא על SIM שהפסיק לעבוד כשהמטוס נחת. ה-VPN התחבר והעבודה בכל זאת נכשלה, כי שלוש שאלות נפרדות אוחדו לבדיקה אחת. ענו עליהן לפי הסדר שלמטה והנסיעה תפסיק להיות ניסוי.
אישור אינו אותו דבר כמו קישוריות
מעסיק שמתיר עבודה ממדינה אחרת, לקוח שמקים שם מנהרה, וספק זהות שמקבל את ההתחברות הם שלוש תוצאות שונות. כל אחת נמצאת באחריות חלק אחר בארגון, וכל אחת יכולה להיכשל בזמן ששתי האחרות מצליחות. בדיקה מהירה מוצלחת אומרת לכם רק שהנתיב ברשת עבד באותו רגע.
לכן סמל ירוק בזמן הרצת בדיקה הוא הוכחה כה מטעה: הוא עונה על השאלה הטכנית ומשאיר את המדיניות, את תלויות היישומים ואת נתיב השחזור בדיוק במקום שבו היו. התייחסו לבדיקה כתשובה אחת מתוך שלוש, לא כאל כל האימות.
קודם כל קבלו אישור למקום העבודה
מסרו לאיש הקשר האחראי את המיקום המיועד, התאריכים, המכשיר והעבודה הנדרשת. שאלו איזה ציוד נדרש, כיצד מותר לטפל בנתונים, ומי תומך בכם בזמן שאתם רחוקים. שאלות של העסקה, מיסוי וסמכות שיפוטיות שייכות לבעל השאלות האלה, לא למי שמנפיק חשבונות VPN. רשמו את התשובה במקום שבו תוכלו להגיע אליה בנסיעה.
קבלו את התשובה האמיתית של הארגון בכתב. פוסט בפורום על מגבלותיו של מעסיק אחר, או סיפור של עמית על מעבר גבול, אינם יכולים לקבוע את המדיניות שלכם. התייחסות לאנקדוטה כאל אישור היא הדרך שבה אנשים בסוף נאלצים להסביר למנהל נסיעה שלא אושרה.
תרגלו את נתיב החיבור האמיתי
אשרו עם מחלקת ה-IT את הלקוח הנתמך, הפרופיל, נקודת הקצה והתעבורה, ואז פרטו את היישומים הפרטיים והשמות שהעבודה באמת זקוקה להם. סמל מנהרה אינו מוכיח שמישהו מהם נגיש, ושם פנימי שנפתר רק לאחר חיבור הוא תלות מסוימת שכדאי לרשום לפני היציאה. קבצו את התלויות לפי יישום, כך שזו החסרה תובחן בשלב התכנון ולא בבוקר הראשון. כל פריט ברשימה הזו יכול להיכשל באופן עצמאי.
בקשו בדיקה מאושרת במקום לאלתר אחת. חיבור מהבית דרך יציאה זרה לא קשורה אינו תרגול של Wi-Fi במלון, של נקודת גישה ניידת, של עדכון מכשיר מנוהל או של פורטל כפייה. בנייה של מנהרה מקוננת לא מאושרת כדי שהבדיקה תיראה זרה משנה את ההסדר במקום לאמת אותו, ומעמידה את הבדיקה במצב שאיש לא בחן.
שמרו את הפרופיל המאושר ואת הוראות התמיכה שאינן סודיות זמינים במצב לא מקוון, ואם נדרש שלב קבלה מקומי לפני שהתעבורה זורמת, השתמשו בנוהל המתועד שלו תוך שמירה על מדיניות החסימה שהארגון קבע. מעקף שמכבה בקרה כדי לעלות לרשת הוא שינוי בהסדר, לא תיקון שלו.
שמרו על שחזור ההתחברות כעצמאי
שאלו אם מיקום, מצב המכשיר או תנאי הקשר אחר משפיעים על הקבלה, ואשרו שהמאמת ותהליך השחזור יישארו זמינים בזמן הנסיעה. אל תניחו שכתובת מקור שהשתנתה תפעיל התראה, או שנסיעה מאושרת מסירה כל בדיקת אבטחה. שתי ההנחות מובילות לאותה הפתעה ברגע הגרוע ביותר.
רשמו למי לפנות על התחברות שנדחתה, מאמת שאבד או שירות שאינו נגיש. מפעיל ה-VPN, מנהל הזהות ובעל היישום פותרים שלבים שונים, ונתיב שחזור שתלוי כולו ב-VPN שאליו אינכם מגיעים אינו גיבוי. המינימום הוא אמצעי קשר שני שאינו חולק את הנתיב הכושל. סכמו על הערוץ הזה לפני היציאה, לא אחרי שההתחברות נכשלת.
| Question | Evidence that answers it | What does not |
|---|---|---|
| May I work here? | A written answer from the employer | A successful tunnel |
| Will the path work? | An approved test from a comparable network | A test from your home connection |
| Can I recover? | An independent contact and a second authenticator | A help page you can only open through the VPN |
מדריך התכנון של EFF מתחיל במה ומפני מי מגינים, ואחר כך במאמץ ובעזרה הזמינה. כשמיישמים אותו כאן, התוכנית שמה את העבודה ואת תלויותיה לפני שהיא בוחרת טכניקה לשינוי הכתובת שצופה רואה. הסדר הזה הוא שמשאיר את הבחירה הטכנית כפופה לדרישה בפועל.
השאירו רשומת מסירה קצרה: הסדר מאושר, מכשיר ופרופיל, יישומים נדרשים, תוצאת הבדיקה ואיש תמיכה שאינו על אותו חיבור. שמרו סיסמאות, מפתחות פרטיים וקודי שחזור מחוץ לתוכנית נסיעה משותפת, ואם מופיעה אזהרה בזמן שאתם רחוקים, דווחו על השגיאה האמיתית דרך אותו ערוץ במקום לשנות נתיבים כדי להסתיר היכן אתם.