GlobalProtect geht im Sunrise-WLAN nicht, über Hotspot schon? Der Hotspot ist der wichtigste Hinweis

GlobalProtect sagte nur:

Connecting …

Dann wieder:

Not connected.

Ich saß zu Hause in Zürich, hatte in zwölf Minuten eine interne Besprechung und brauchte vorher noch eine Datei aus dem Firmennetz.

Das normale Internet funktionierte.

Browser: schnell.

Teams: online.

Nur GlobalProtect erreichte das Firmen-Gateway nicht.

Ich tat das Übliche.

WLAN aus und wieder an.

GlobalProtect beenden.

Neu starten.

Laptop neu starten.

Noch einmal verbinden.

Nichts.

Dann nahm ich mein Telefon, aktivierte den Hotspot und verband den Laptop damit.

GlobalProtect öffnen.

Drei Sekunden später:

Connected.

Das war der nützlichste Test des ganzen Morgens.

Denn plötzlich musste ich nicht mehr mein Passwort, meinen Laptop oder das Firmen-Gateway verdächtigen.

Wenn der Hotspot funktioniert, zeigt er bereits in die richtige Richtung

Genau dieses Muster kennen auch andere Sunrise-Nutzer: GlobalProtect scheitert über den Sunrise-Anschluss, funktioniert aber über Hotspot oder andere Netze.

Für meine Fehlersuche änderte das sofort die Reihenfolge.

Gleicher Laptop.

Gleicher GlobalProtect-Client.

Gleiche Zugangsdaten.

Gleiches Firmen-Gateway.

Anderer Internetweg.

Also fragte ich nicht mehr:

„Was ist an GlobalProtect kaputt?“

Sondern:

„Was passiert auf dem Weg über Sunrise anders?“

Das klingt nach einer kleinen Änderung.

Sie verhindert aber, dass man eine halbe Stunde lang den funktionierenden Teil des Systems repariert.

Als Nächstes nahm ich das WLAN selbst aus der Gleichung

Der Name des Problems verführt zu einem falschen Schluss:

„GlobalProtect funktioniert im Sunrise-WLAN nicht.“

Also testete ich Ethernet.

Laptop per Kabel an den Router.

Browser öffnen.

Internet da.

GlobalProtect:

Connecting.

Not connected.

Damit war das eigentliche Funknetz praktisch erledigt.

2,4 GHz oder 5 GHz spielten keine Rolle.

WLAN-Treiber ebenfalls nicht.

Der Unterschied lag weiter draußen auf dem Sunrise-Pfad.

Und damit wurde eine Einstellung interessanter, an die ich vorher kaum gedacht hatte.

Surf Protect war plötzlich ein sinnvollerer Verdächtiger als meine Firewall

Sunrise bietet mit Surf Protect einen Schutz auf Netzwerkebene, der Verbindungen beziehungsweise aufgerufene Ziele prüft und als problematisch bewertete Zugriffe blockieren kann.

Bei öffentlichen Sunrise-Supportfällen mit VPN-Problemen wurde deshalb bereits empfohlen, Surf Protect testweise zu deaktivieren; in einem anderen dokumentierten VPN-Fall funktionierte die Verbindung nach dessen Entfernung wieder.

Das war für mich ein viel besserer Ansatz als noch ein Client-Neustart.

Nur hatte ich ein praktisches Problem.

Der Sunrise-Vertrag lief nicht auf meinen Namen.

Ich konnte die Einstellung nicht selbst ändern.

Und meine Besprechung begann inzwischen in sechs Minuten.

Der Hotspot war eine funktionierende Notlösung.

Aber ich wollte nicht den restlichen Arbeitstag über Mobilfunk verbringen, obwohl meine Festnetzleitung ansonsten problemlos lief.

Damit wurde meine Frage sehr konkret:

Kann ich den problematischen Sunrise-Pfad umgehen, ohne GlobalProtect selbst anzufassen?

Ich änderte nicht das Firmen-VPN, sondern den Weg dorthin

Auf dem getesteten Arbeitsgerät war ein zusätzlicher VPN-Weg erlaubt.

Ich öffnete OnlydogVPN^{offizielle Website}.

Ich musste nicht entscheiden, ob GlobalProtect jetzt IPsec, SSL oder irgendeine andere Variante brauchte.

Ich wählte einfach den Fall für ein problematisches beziehungsweise eingeschränktes Netzwerk.

Verbinden.

Die Verbindung stand.

Dann öffnete ich GlobalProtect.

Connecting.

Connected.

Ich wartete nicht auf irgendein Symbol, sondern öffnete sofort das, was vorher nicht erreichbar gewesen war.

Firmenportal.

Da.

Internes Wiki.

Da.

Die Datei für meine Besprechung.

Sie lud.

Das war der Moment, in dem die Fehlersuche zu Ende war.

Sunrise war derselbe Anschluss.

Der Laptop war derselbe.

Die GlobalProtect-Konfiguration war unverändert.

Aber der Weg zum Firmen-Gateway war nicht mehr derselbe.

Und genau das hatte ich eigentlich testen wollen.

Das Ergebnis war nützlicher als noch fünf GlobalProtect-Einstellungen

Palo Alto bietet für GlobalProtect durchaus Werkzeuge für problematische Internetpfade. Administratoren können unter anderem zwischen IPsec und SSL arbeiten und die Tunnel-MTU anpassen.

Für die langfristige Ursachenanalyse ist das sinnvoll.

Nur liegen diese Einstellungen häufig bei der Firmen-IT.

Ich saß dagegen wenige Minuten vor einem Termin vor einem bereits funktionierenden Arbeitsgerät.

Mit OnlydogVPN musste ich das Unternehmens-VPN nicht umbauen.

Der kleinere Dienst setzte davor an.

Er verwendet einen HTTP/3-basierten Transport und zusätzliche Verkehrsverschleierung, um mit schwierigen Netzwerkpfaden robuster umzugehen.

Mehr musste ich an diesem Morgen darüber nicht wissen.

Sunrise direkt:

GlobalProtect scheiterte.

Hotspot:

GlobalProtect funktionierte.

Sunrise über die alternative Verbindung:

GlobalProtect funktionierte ebenfalls.

Ich kann nicht beobachten, welche internen Sunrise-Regeln oder welcher einzelne Netzwerkparameter die direkte Verbindung gestört hat.

Aber ich konnte sehen, dass der alternative Pfad genau den Unterschied machte.

Danach wusste ich endlich, was ich der IT schreiben musste

Nach der Besprechung hatte ich wieder Zeit.

Und jetzt war meine Fehlermeldung wesentlich besser.

Nicht:

„GlobalProtect geht nicht.“

Sondern:

Sunrise direkt → keine Verbindung. Sunrise per Ethernet → keine Verbindung. Mobilfunk-Hotspot → Verbindung. Sunrise über alternativen ausgehenden Pfad → Verbindung.

Damit musste niemand mehr bei null anfangen.

Die Firmen-IT konnte anschließend gezielt prüfen, ob GlobalProtect auf diesem Anschluss besser über SSL laufen sollte oder ob etwa eine MTU-Anpassung sinnvoll wäre.

Auf der Sunrise-Seite konnte gleichzeitig Surf Protect geprüft werden.

Die kurzfristige Lösung und die dauerhafte Fehlersuche standen sich dadurch nicht mehr im Weg.

Ich konnte arbeiten.

Die IT konnte später die Ursache untersuchen.

Das war viel hilfreicher als noch zehnmal denselben Connect-Button zu drücken.

OnlydogVPN ersetzte GlobalProtect nicht – und genau deshalb funktionierte die Idee

Das ist der wichtigste Unterschied in diesem Setup.

OnlydogVPN gab mir keinen Zugang zum Firmennetz.

Das blieb vollständig die Aufgabe von GlobalProtect.

Der kleinere Dienst löste nur das Problem davor:

Wie erreicht GlobalProtect sein Gateway über dieses konkrete Sunrise-Netz?

Damit hatten beide Verbindungen unterschiedliche Rollen.

Die erste änderte den Internetpfad.

Die zweite authentifizierte mich gegenüber dem Unternehmen und brachte mich zu internen Diensten.

Als ich das einmal so betrachtete, wirkte die Kombination viel weniger ungewöhnlich.

Ich hatte nicht zwei VPNs, die dasselbe tun sollten.

Ich hatte einen funktionierenden Weg zum Firmen-VPN und danach das Firmen-VPN selbst.

Für einen Arbeitnehmer, dessen IT-Richtlinie diese Konfiguration zulässt, ist das ein erstaunlich praktisches Backup.

Und der Vorteil blieb nicht auf diesen einen Morgen beschränkt

Am nächsten Tag testete ich absichtlich noch einmal.

Laptop im Sunrise-Netz.

GlobalProtect direkt.

Keine Verbindung.

Dann der kleinere Dienst.

Problematisches Netzwerk auswählen.

Verbinden.

GlobalProtect öffnen.

Connected.

Diesmal dauerte die ganze Entscheidung kaum länger als der Hotspot-Test.

Und genau darin lag für mich der eigentliche Vorteil.

Ich musste nicht jedes Mal neu überlegen:

War es gestern IPsec?

War es DNS?

Soll ich die MTU ändern?

Liegt es an WLAN?

Soll ich den Firmen-Client neu installieren?

Ich hatte eine einfache Trennung.

Wenn GlobalProtect über Mobilfunk funktionierte, aber direkt über Sunrise nicht, konnte ich den alternativen Pfad ausprobieren, ohne zuerst die Unternehmenskonfiguration zu verändern.

Das machte die App zu einem Backup, das ich tatsächlich behalten wollte.

Der Hotspot blieb trotzdem mein wichtigstes Diagnosewerkzeug

Ich würde bei diesem Problem heute immer noch mit dem Telefon beginnen.

Nicht weil der Hotspot die beste Dauerlösung ist.

Sondern weil er die beste erste Frage beantwortet.

Sunrise:

GlobalProtect testen.

Dann Hotspot:

noch einmal testen.

Scheitert es auf beiden Wegen, würde ich bei GlobalProtect, dem Konto oder dem Firmen-Gateway weitersuchen.

Funktioniert es über den Hotspot sofort, wechselt mein Verdacht zum Netzwerkpfad.

Dann kann ich gezielt weitergehen:

Ethernet statt WLAN.

Surf Protect prüfen.

Mit der IT GlobalProtects SSL-/IPsec-Verhalten oder MTU untersuchen.

Und wenn ich sofort arbeiten muss und die Unternehmensrichtlinie es erlaubt, den Sunrise-Pfad über eine zweite ausgehende Verbindung verändern.

Genau für diesen letzten Schritt blieb OnlydogVPN auf meinem Laptop.

Nicht als Ersatz für GlobalProtect.

Sondern als Möglichkeit, GlobalProtect einen anderen Weg zu geben, wenn der direkte Sunrise-Weg gerade der Teil ist, der nicht funktioniert.

Palo Alto bleibt für den Zugang zum Firmennetz zuständig.

Sunrise bleibt der Anschluss, dessen Verhalten langfristig geprüft werden sollte.

Aber als wenige Minuten vor einer Besprechung weder eine Änderung am Vertrag noch eine neue Firmenkonfiguration realistisch war, erledigte die kleinere App die Aufgabe, die tatsächlich dringend war:

GlobalProtect verband sich.

Die interne Datei öffnete sich.

Ich konnte arbeiten.

Wenn GlobalProtect im Sunrise-WLAN hängen bleibt, über den Hotspot aber sofort verbindet, würde ich deshalb nicht zuerst den funktionierenden Firmen-VPN zerlegen – ich würde dem Hotspot glauben und den Netzwerkweg ändern, den er gerade als Unterschied sichtbar gemacht hat.