Służbowy VPN w ZEA: co najpierw potwierdzić

Zacznij podróż służbową od węższego pytania niż to, czy oprogramowanie VPN jest w ogóle dozwolone. Przydatne pytanie brzmi, do jakiego prywatnego systemu musisz dotrzeć, przez którą bramę firmową i kto wspiera urządzenie, jeśli tunel nie wstanie. Wszystko inne o łączności to druga rozmowa, a mieszanie obu daje plan, który nie odpowiada na żadne z nich. Pisemny plan je rozdziela.

Co faktycznie obejmuje udokumentowany przypadek użycia

Regulator telekomunikacyjny ZEA, TDRA, publikuje Wytyczne internetowe które omawiają organizacyjne wykorzystanie technologii VPN do docierania do sieci wewnętrznych, obok osobnego omówienia filtrowania treści i usług komunikacyjnych. To odrębne tematy. Firma docierająca do własnego intranetu przez własną bramę jest opisanym organizacyjnym przypadkiem użycia, a nie ogólnym stwierdzeniem o każdej usłudze, z której podróżny mógłby korzystać. To także nie jest opinia prawna o twojej konkretnej podróży, a czytanie tego jako jednego z dwojga jest miejscem, w którym zaczyna się większość sporów na ten temat.

Czytaj opublikowane wytyczne bezpośrednio, a nie streszczenie, i traktuj tę stronę jako listę kontrolną do planowania, a nie jako poradę dotyczącą twojej sytuacji prawnej. Wszystko poza udokumentowanym przypadkiem dostępu wewnętrznego należy do wykwalifikowanego lokalnego prawnika i do polityki podróży twojego pracodawcy.

Przypisz pracę do konkretnej bramy

Zapisz systemy, których naprawdę potrzebujesz: intranet, repozytorium dokumentów, wewnętrzną aplikację, która nie istnieje poza siecią firmową. Potem zadaj IT dwa pytania: która zatwierdzona brama obsługuje te systemy i czy profil podróży zmienia coś jeszcze w urządzeniu. Odpowiedź jest zwykle bardziej konkretna, niż sugeruje nazwa profilu.

Niektóre organizacje publikują osobną bramę podróżną z innym certyfikatem lub innym krokiem uwierzytelniania; inne oczekują, że użyjesz zwykłego profilu, który może kierować cały ruch, a nie tylko zakresy firmowe. Nazwa profilu rzadko mówi która. Zapytaj albo przeczytaj tabelę tras po połączeniu.

Wiedza o tym, którą masz, zmienia to, czego należy się spodziewać. Profil pełnego tunelu wysyła również zwykłe przeglądanie przez firmę, co może być dokładnie tym, co zamierza pracodawca, i na pewno czymś, co trzeba zrozumieć przed podróżą, a nie w jej trakcie. Określa też ścieżkę wsparcia, bo osoba, która może ponownie wydać certyfikat lub zresetować konto, jest zwykle dostępna w godzinach pracy w jednej strefie czasowej. To ważniejsze niż wersja klienta.

Co profil robi z resztą twojego ruchu

Profil dzielonego tunelu przenosi tylko prefiksy firmowe; profil pełnego tunelu przenosi wszystko. Żaden nie jest z natury lepszy, ale tylko jeden pasuje do wąskiego przypadku dostępu wewnętrznego, a różnica to decyzja konfiguracyjna, którą twoja organizacja już podjęła. Wynik możesz odczytać na urządzeniu, zamiast zgadywać z nazwy profilu:

ip -4 route
ip -4 route get 10.20.4.10
nmcli connection show --active

Drugie polecenie pokazuje, który interfejs przeniósłby ruch do adresu firmowego. Jeśli twoje zwykłe cele są również rozwiązywane przez tunel, profil jest pełnym tunelem, a wszelkie oczekiwanie, że zwykłe przeglądanie pozostanie poza nim, jest błędne. Lepiej odkryć to przed podróżą niż podczas rozmowy.

DNS działa według tej samej logiki. Resolver narzucany przez tunel decyduje, dokąd trafiają nazwy, a konfiguracja dzielona może wysyłać nazwy wewnętrzne do firmy, a wszystko inne do lokalnego resolvera, albo odwrotnie, w zależności od tego, jak ją zbudowano. Sprawdź, którego resolvera urządzenie faktycznie używa po połączeniu, a nie którego obiecywał profil. Zapytanie o nazwę wewnętrzną z sieci hotelowej to najszybszy sposób, by zobaczyć różnicę.

Przygotuj ścieżkę awaryjną, zanim polecisz

Załóż, że tunel nie połączy się za pierwszym razem z sieci hotelowej, i zdecyduj wcześniej, co zrobisz. To znaczy zatwierdzone rozwiązanie zapasowe wspierane przez twój zespół IT, kontakt, który może pomóc w różnych strefach czasowych, oraz lokalny numer urządzenia, jeśli uwierzytelnianie zależy od telefonu. Zapisanie tych trzech to różnica między planem a zamiarem.

Przetestuj obsługiwane kroki uwierzytelniania i odzyskiwania przed podróżą, w tym każdy drugi czynnik wymagający zarejestrowanego urządzenia. Czynnik wymagający numeru roamingowego, którego nie aktywowałeś, to awaria, którą możesz przewidzieć dziś i której nie naprawisz na lotnisku. Przetestuj też rozwiązanie zapasowe, nie tylko ścieżkę główną, i zrób to z sieci, która nie jest twoją siecią LAN w biurze. Rozwiązanie zapasowe, którego nikt nie wypróbował, jest nadzieją, nie planem.

Trzymaj rozwiązanie zapasowe w granicach zatwierdzonych opcji organizacji. Improvizowane publiczne wyjście nie jest ścieżką wsparcia, i nie jest to decyzja do podjęcia samemu w pokoju hotelowym. Jeśli zatwierdzone rozwiązanie zapasowe też zawiedzie, właściwym następnym krokiem jest kontakt wsparcia, a nie inne wyjście.

Zachowaj zapis i sprawdź go ponownie

Zapisz plan tam, gdzie go znajdziesz: nazwę bramy, wspierany kontakt, potrzebne systemy i datę sprawdzenia wytycznych regulatora. Wytyczne i polityka organizacji się zmieniają, a notatka z datą jest warta więcej niż pamięć. Czyni też planowanie kolejnej podróży tańszym.

Potem przejrzyj plan pod kątem części, które w ogóle nie dotyczą technologii — co zrobisz, jeśli oczekiwana usługa jest niedostępna, i kto decyduje, czy podróż się odbędzie. Odpowiedzi na to zwykle udziela osoba, a nie ustawienie w kliencie.