לקחת VPN עבודה לאיחוד האמירויות: מה לאשר קודם

התחילו נסיעת עבודה בשאלה צרה יותר מזו אם תוכנת VPN מותרת באופן כללי. השאלה המועילה היא לאיזו מערכת פרטית עליכם להגיע, דרך איזו שער חברה, ומי תומך במכשיר אם המנהרה לא עולה. כל השאר בנושא קישוריות הוא שיחה שנייה, וערבוב השניים מייצר תוכנית שאינה עונה לאף אחד מהם. תוכנית כתובה מפרידה ביניהם.

מה מקרה השימוש המתועד מכסה בפועל

רגולטור התקשורת של איחוד האמירויות, TDRA, מפרסם הנחיות אינטרנט העוסקות בשימוש ארגוני בטכנולוגיית VPN להגעה לרשתות פנימיות, לצד דיון נפרד בסינון תוכן ובשירותי תקשורת. אלה נושאים נפרדים. חברה שמגיעה לאינטראנט שלה דרך השער שלה היא מקרה שימוש ארגוני מתואר, לא הצהרה גורפת על כל שירות שמטייל עשוי להשתמש בו. זה גם לא חוות דעת משפטית על הנסיעה הספציפית שלכם, וקריאה של זה כאחד מהשניים היא המקום שבו מתחילות רוב המחלוקות בנושא.

קראו את ההנחיות המפורסמות ישירות ולא תקציר, והתייחסו לעמוד הזה כרשימת בדיקה לתכנון ולא כייעוץ לגבי מעמדם המשפטי. לכל מה שמחוץ למקרה המתועד של גישה פנימית, השאלות שייכות לעורך דין מקומי מוסמך ולמדיניות הנסיעות של המעסיק שלכם.

קשרו את העבודה לשער מסוים

רשמו את המערכות שבאמת דרושות לכם: האינטראנט, מאגר מסמכים, היישום הפנימי שאינו קיים מחוץ לרשת החברה. אחר כך הציגו למודיעין שתי שאלות: איזה שער מאושר משרת את המערכות האלה, והאם פרופיל הנסיעה משנה משהו אחר במכשיר. התשובה בדרך כלל ספציפית יותר ממה ששם הפרופיל מרמז.

ארגונים מסוימים מפרסמים שער נסיעה ייעודי עם תעודה אחרת או שלב אימות אחר; אחרים מצפים שתשתמשו בפרופיל הרגיל, שעשוי לנתב את כל התעבורה ולא רק טווחים ארגוניים. שם הפרופיל ממעט לומר איזה מהם. שאלו, או קראו את טבלת הניתוב לאחר ההתחברות.

הידיעה איזה מהם יש לכם משנה את מה שכדאי לצפות לו. פרופיל מנהרה מלאה שולח גם את הגלישה הרגילה שלכם דרך החברה, וזה אולי בדיוק מה שהמעסיק מתכוון אליו ובוודאי משהו שכדאי להבין לפני הנסיעה ולא במהלכה. הוא גם מגדיר את נתיב התמיכה, כי מי שיכול להנפיק תעודה מחדש או לאפס חשבון לרוב זמין בשעות העבודה באזור זמן אחד. זה חשוב יותר מגרסת הלקוח.

מה הפרופיל עושה לשאר התעבורה שלכם

פרופיל מנהרה מפוצלת נושא רק את הקידומות הארגוניות; פרופיל מנהרה מלאה נושא הכול. אף אחד מהם אינו טוב יותר מטבעו, אבל רק אחד מתאים למקרה הצר של גישה פנימית, וההבדל הוא החלטת תצורה שהארגון שלכם כבר קיבל. אפשר לקרוא את התוצאה במכשיר במקום לנחש משם הפרופיל:

ip -4 route
ip -4 route get 10.20.4.10
nmcli connection show --active

הפקודה השנייה מראה איזה ממשק יישא תעבורה לכתובת ארגונית. אם גם היעדים הרגילים שלכם נפתרים דרך המנהרה, הפרופיל הוא מנהרה מלאה, וכל ציפייה שהגלישה הרגילה תישאר מחוצה לה שגויה. מוטב לגלות זאת לפני הנסיעה ולא במהלך שיחה.

DNS פועל באותה היגיון. פותר שנדחף על ידי המנהרה קובע לאן הולכים שמות, ותצורה מפוצלת יכולה לשלוח שמות פנימיים לחברה ואת כל השאר לפותר המקומי, או ההפך בהתאם לאופן שבו נבנתה. בדקו איזה פותר המכשיר באמת משתמש בו לאחר ההתחברות, ולא איזה הפרופיל הבטיח. חיפוש של שם פנימי מרשת בית מלון הוא הדרך המהירה ביותר לראות את ההבדל.

הכינו את נתיב הכשל לפני הטיסה

הניחו שהמנהרה לא תתחבר בניסיון הראשון מרשת בית מלון, והחליטו מראש מה תעשו. זה אומר חלופת הגיבוי המאושרת שצוות ה-IT שלכם תומך בה, איש הקשר שיכול לעזור בין אזורי זמן, והמספר המקומי של המכשיר אם האימות תלוי בטלפון. כתיבת שלושת אלה היא ההבדל בין תוכנית לכוונה.

נסו את שלבי האימות והשחזור הנתמכים לפני הנסיעה, כולל כל גורם שני שמחייב מכשיר רשום. גורם שדורש מספר נדידה שלא הפעלתם הוא כשל שאפשר לחזות היום ולא ניתן לתקן בשדה התעופה. נסו גם את חלופת הגיבוי, לא רק את הנתיב הראשי, ועשו זאת מרשת שאינה ה-LAN של המשרד. חלופת גיבוי שאיש לא ניסה היא תקווה ולא תוכנית.

השאירו את חלופת הגיבוי בתוך האפשרויות המאושרות של הארגון. יציאה ציבורית מאולתרת אינה נתיב תמיכה, וזו אינה החלטה לקבל לבד בחדר בית מלון. אם גם חלופת הגיבוי המאושרת נכשלת, הצעד הנכון הבא הוא איש הקשר לתמיכה, ולא יציאה אחרת.

שמרו את הרשומה ובדקו אותה שוב

שמרו את התוכנית במקום שבו תמצאו אותה: שם השער, איש הקשר הנתמך, המערכות שהייתם צריכים והתאריך שבו בדקתם את הנחיות הרגולטור. הנחיות ומדיניות ארגונית משתנות, והערה עם תאריך שווה יותר מזיכרון. היא גם הופכת את תכנון הנסיעה הבאה לזול יותר.

לאחר מכן עברו על התוכנית בחלקים שאינם עוסקים בטכנולוגיה כלל — מה תעשו אם שירות שציפיתם לו אינו זמין, ומי מחליט אם הנסיעה תימשך. התשובות האלה נמצאות בדרך כלל אצל אדם, ולא בהגדרה בלקוח.