Рабочий VPN в ОАЭ: что подтвердить в первую очередь

Начните рабочую поездку с более узкого вопроса, чем тот, разрешено ли ПО VPN в целом. Полезный вопрос — к какой частной системе нужно попасть, через какой корпоративный шлюз и кто поддерживает устройство, если туннель не поднимется. Всё остальное о связности — второй разговор, а смешение двух даёт план, который не отвечает ни на один. Письменный план разделяет их.

Что на самом деле охватывает документированный сценарий использования

Телекоммуникационный регулятор ОАЭ, TDRA, публикует Руководство по интернету, которое рассматривает организационное использование технологии VPN для доступа к внутренним сетям, наряду с отдельным обсуждением фильтрации контента и коммуникационных услуг. Это разные темы. Компания, которая попадает в собственный интранет через собственный шлюз, — описанный организационный сценарий, а не общее утверждение о каждой услуге, которой может воспользоваться путешественник. Это также не юридическое мнение о вашей конкретной поездке, и чтение этого как одного из двух — то место, с которого начинается большинство споров на эту тему.

Читайте опубликованное руководство напрямую, а не пересказ, и воспринимайте эту страницу как контрольный список для планирования, а не как совет о вашем правовом положении. Всё, что выходит за описанный случай внутреннего доступа, относится к вопросам к квалифицированному местному юристу и к политике поездок вашего работодателя.

Привяжите работу к конкретному шлюзу

Запишите системы, которые вам действительно нужны: интранет, хранилище документов, внутреннее приложение, которого не существует вне корпоративной сети. Затем задайте ИТ два вопроса: какой одобренный шлюз обслуживает эти системы и меняет ли командировочный профиль что-то ещё на устройстве. Ответ обычно конкретнее, чем предполагает название профиля.

Некоторые организации публикуют отдельный командировочный шлюз с другим сертификатом или другим шагом аутентификации; другие ожидают, что вы будете использовать обычный профиль, который может направлять весь трафик, а не только корпоративные диапазоны. Название профиля редко говорит, какой именно. Спросите или прочитайте таблицу маршрутизации после подключения.

Знание того, какой у вас, меняет то, чего следует ожидать. Профиль полного туннеля отправляет и вашу обычную работу в браузере через компанию, что может быть именно тем, что имеет в виду работодатель, и уж точно это нужно понять до поездки, а не во время неё. Он также определяет путь поддержки, потому что человек, который может перевыпустить сертификат или сбросить учётную запись, обычно доступен в рабочее время в одном часовом поясе. Это важнее версии клиента.

Что профиль делает с остальным вашим трафиком

Профиль разделённого туннеля несёт только корпоративные префиксы; профиль полного туннеля несёт всё. Ни один не лучше по своей природе, но только один соответствует узкому случаю внутреннего доступа, и разница — это решение о конфигурации, которое ваша организация уже приняла. Результат можно прочитать на устройстве, а не угадывать по названию профиля:

ip -4 route
ip -4 route get 10.20.4.10
nmcli connection show --active

Вторая команда показывает, какой интерфейс понёс бы трафик к корпоративному адресу. Если ваши обычные назначения тоже разрешаются через туннель, профиль полный, и любое ожидание, что обычный просмотр останется снаружи, ошибочно. Лучше обнаружить это до поездки, чем во время звонка.

DNS следует той же логике. Резолвер, навязанный туннелем, решает, куда идут имена, и разделённая конфигурация может отправлять внутренние имена в компанию, а всё остальное к локальному резолверу, или наоборот в зависимости от того, как она построена. Проверьте, какой резолвер устройство действительно использует после подключения, а не какой обещал профиль. Запрос внутреннего имени из гостиничной сети — самый быстрый способ увидеть разницу.

Подготовьте путь отказа до вылета

Исходите из того, что туннель не подключится с первой попытки из гостиничной сети, и заранее решите, что будете делать. Это означает одобренный запасной вариант, который поддерживает ваша ИТ-команда, контакт, который может помочь в разных часовых поясах, и местный номер для устройства, если аутентификация зависит от телефона. Записать эти три вещи — разница между планом и намерением.

Проверьте поддерживаемые шаги аутентификации и восстановления до поездки, включая любой второй фактор, требующий зарегистрированного устройства. Фактор, которому нужен номер роуминга, который вы не активировали, — это сбой, который можно предсказать сегодня и нельзя исправить в аэропорту. Проверьте и запасной вариант, а не только основной путь, и сделайте это из сети, которая не является вашей офисной локальной сетью. Запасной вариант, который никто не пробовал, — это надежда, а не план.

Держите запасной вариант в пределах одобренных организацией возможностей. Импровизированный публичный выход — не путь поддержки, и это не решение, которое принимают в одиночку в гостиничном номере. Если одобренный запасной вариант тоже не сработает, правильный следующий шаг — контакт поддержки, а не другой выход.

Сохраняйте запись и перепроверяйте её

Сохраните план там, где вы его найдёте: название шлюза, поддерживаемый контакт, нужные системы и дату, когда вы проверяли руководство регулятора. Руководство и организационная политика меняются, и заметка с датой ценнее воспоминания. Это также удешевляет планирование следующей поездки.

Затем просмотрите план в частях, которые вообще не о технологиях — что вы сделаете, если ожидаемая услуга недоступна, и кто решает, состоится ли поездка. Эти ответы обычно у человека, а не в настройке клиента.