Thuis werkt alles, en op reis weigert je werkmail of komt je VPN niet op. Vaak is er niets mis met je account of je eSIM. Het systeem ziet alleen een inlogpoging uit een land dat het niet verwacht.
Je IP-adres hoeft niet in je reisland te staan
Een reis-eSIM gebruikt roaming. Je telefoon zit op een lokaal netwerk, maar je dataverkeer gaat het internet op via een uitgang van de eSIM-aanbieder, en die kan in een ander land staan. Ben je in Azië, dan kan je IP-adres dus uit een buurland komen of zelfs uit Europa. Op hotelwifi heb je weer een ander IP-adres, dus je kunt op één dag vanuit meerdere landen lijken in te loggen.
Wil je weten welk land websites zien? Zoek op "wat is mijn IP" terwijl je op je eSIM zit.
Drie dingen die dan misgaan
Je bedrijf laat alleen bepaalde landen toe
Veel bedrijven blokkeren inloggen vanuit het buitenland. In Microsoft 365 gaat dat via Conditional Access met named locations. Microsoft bepaalt het land aan de hand van je IP-adres, of via de locatie uit de Authenticator-app als je bedrijf dat zo heeft ingesteld. Word je geweigerd, dan zie je vaak foutcode AADSTS53003.
Het kan dus zijn dat je beheerder het land van je reis op de lijst zet, terwijl je IP-adres uit een ander land komt. Dan word je alsnog geweigerd.
Je inlogpoging lijkt op een onmogelijke reis
Microsoft Entra ID Protection let op inlogpogingen van plekken die ver uit elkaar liggen (atypical travel), en Defender for Cloud Apps op reizen die in die korte tijd niet kunnen (impossible travel). Inloggen op hotelwifi en een paar minuten later via je eSIM uit een ander land kan er precies zo uitzien. Afhankelijk van de instellingen krijg je dan een extra controle of wordt je account geblokkeerd. Dit speelt alleen bij bedrijven met de duurdere Microsoft-licenties.
Je VPN komt niet op of blijft hangen
Op een mobiel netwerk zit je achter NAT, en daar kan niet elke VPN goed mee overweg. IPsec heeft dan NAT-traversal nodig via UDP-poort 4500. Komt de tunnel wel op, maar blijven grote bestanden of sommige websites hangen? Dan is het vaak de MTU. Ook kan de firewall van je bedrijf buitenlandse IP-adressen weigeren, nog voordat de VPN begint. Bouwhuis IT zet de oorzaken van een instabiele VPN op een rij.
Dit regel je voor vertrek
- Geef je reis door aan IT, met landen en data. Vraag om een tijdelijke uitzondering op de landblokkade voor jouw account, met een einddatum. Dat is veiliger dan een land voor iedereen openzetten, en het werkt ook als je IP-adres uit een ander land komt.
- Zorg dat je inlogcode het doet. De codes in een authenticator-app werken ook zonder internet. Krijg je je code per sms, dan moet je eigen simkaart aan staan, want de eSIM heeft geen nummer.
- Log meteen na aankomst in, terwijl je IT-beheerder nog bereikbaar is. Werkt het niet, dan heb je nog tijd om het op te lossen voordat je het echt nodig hebt.
Als het toch misgaat
Geef je beheerder het tijdstip van je inlogpoging door en vraag om in de aanmeldlogboeken (sign-in logs) van Microsoft Entra te kijken. Daar staat per poging welk IP-adres en land Microsoft zag, en welke regel je tegenhield.
Probeer intussen een ander netwerk, zoals de wifi van je hotel. Een commerciële VPN is geen goed idee: Microsoft kan zo'n verbinding zien als een anoniem IP-adres, en daar word je niet minder verdacht van.
Hulp nodig met je VPN?
Voor de instellingen van Microsoft 365 kun je het beste terecht bij je eigen beheerder. Komt je VPN-tunnel niet op, of wil je dat iemand meekijkt op je netwerk? Bij Bouwhuis IT, het bedrijf achter eSIM op reis, help ik daar graag bij.
Bestel je eSIM's voor collega's? Op zakelijk bestellen lees je hoe dat werkt. En wil je onderweg ook gebeld kunnen worden, lees dan Zakelijk bereikbaar blijven met een data-eSIM.