البريد يصل إلى الخادم دون VPN: أين تُطبَّق القاعدة

يواصل البريد الاستقصاء والـ VPN معطّل، ومع ذلك يستمر الحساب في المزامنة. التطبيق يفعل ما ضُبط على فعله؛ لا شيء في ملف بريد عادي يقول إن الخادم لا يُبلَغ إلا عبر النفق. هذا يترك متطلبين مختلفين، ويسهل الخلط بينهما: إما أن ترفض الخدمة العملاء المباشرين، وإما ألا يحاول الـ Mac إطلاقًا.

اختر المتطلب قبل اختيار منتج. قاعدة الخادم وقاعدة العميل تفشلان في موضعين مختلفين، وتنتجان أدلة مختلفة، وتنتميان إلى مالكين مختلفين. تطبيق الاثنتين سليم عندما يكون القولان صحيحين، لكن إحداهما ليست بديلًا عن الأخرى. المتطلبان مشروعان؛ لكنهما ليسا الضابط نفسه.

المظهر يوحي بالـ Mac، لكن الخادم قد يكون مصدر التسريب

عندما تُزامَن الرسائل خارج النفق، ابدأ بما يقبله الخادم. إذا كان مستمع البريد يردّ على اتصال مباشر من الإنترنت، فلا إعداد تيسيري على جهة العميل يغيّر تلك الحقيقة. الـ Mac يتصرف بشكل طبيعي تجاه خدمة لا تزال مفتوحة.

اسأل مسؤول البريد عن عنوان المصدر الذي تراه الخدمة. بوابات VPN أو الوكيل العكسي أو موازن الحِمل يمكن أن يترجم عنوان العميل، لذا قد لا يطابق مجمّع العناوين في إعداد VPN ما يصل إلى عملية البريد. القاعدة المكتوبة على المصدر الخطأ إما تحجب الجميع أو لا تحجب أحدًا.

تلك الإجابة تخبرك أيضًا هل تستطيع الخدمة تمييز عملاء VPN أصلًا. إذا وصل كل عميل عبر العنوان الوكيل نفسه، فلا يمكن للقبول القائم على المصدر فصلهم، وعندئذ ينتقل المتطلب إلى المصادقة أو إلى جهة العميل.

قبول الخادم: ارفض المصدر، لا التطبيق

جدار ناري للمضيف أو للشبكة يمكنه تقييد مستمع البريد بنطاقات مصادر معتمدة مع ترك المصادقة وTLS دون تغيير. شرط قاعدة يطابق العناوين البعيدة أو الشبكات الفرعية أو النطاقات هو وحدة البناء المعتادة؛ والصياغة الدقيقة تنتمي إلى منتج الجدار الناري للخادم، لا إلى تطبيق البريد.

هذا هو الحد الأقوى عندما يكون المتطلب «ألا تخدم الخدمة عملاء مباشرين». يصمد حتى لو ثبّت المستخدم تطبيق بريد آخر، لأن الرفض يحدث قبل المصادقة. ويصمد أيضًا مع Mac يتجاهل سياسة الـ VPN الخاصة به.

حدّه مهم بالقدر نفسه. الاتصال المرفوض يثبت أن الخدمة رفضت الجلسة؛ ولا يثبت أن الـ Mac لم يحاول. تحليل DNS، وحزمة TCP SYN إلى موازن حِمل سابق، وإعادة المحاولة بعد الفشل، كلها يمكن أن تحدث قبل الوصول إلى قاعدة الخادم. إذا كان المتطلب يتعلق بكشف المحاولات لا بالوصول، فقبول الخادم نصف الضابط فقط.

الفرض على جهة العميل: احجب المحاولة، لا النفق وحده

قاعدة على جهة العميل يجب أن تمنع الحركة، لا أن تفتح نفقًا عند فتح البريد فحسب. مُشغّل تنشيط لنطاق بريد يمكنه رفع الـ VPN في اللحظة المناسبة، لكنه لا يحدد ما يحدث أثناء تعطّل النفق أو بعده.

استخدم سياسة الحجب المدعومة في منتج نقطة النهاية، وحدّد نطاقها عن قصد. قاعدة على مستوى التطبيق تغطي كل حساب في تطبيق البريد ذلك، بما في ذلك الحسابات الشخصية. قاعدة على مستوى الوجهة يجب أن تسمّي نقاط IMAP وإرسال البريد والمصادقة التابعة لحساب العمل، وعليها أن تظل تعمل عندما تتغير تلك العناوين.

غطِّ عائلتي العناوين والجلسات القائمة. سياسة تحجب اتصالات IPv4 الجديدة وتترك IPv6 أو مقبسًا قائمًا بلا مساس تنتج مزامنات متقطعة تبدو عشوائية. تغيّرات الشبكة ودورات النوم جزء من الاختبار نفسه.

قواعد مستوى التطبيق ومستوى الوجهة تختلف في مدى الأثر

الحجب على مستوى التطبيق بسيط التفكير: لا حركة تغادر من البريد دون النفق. وهو أيضًا فجّ، لأن التطبيق نفسه قد يحمل حسابًا شخصيًا لا علاقة له بالسياسة. يلاحظ المستخدمون ذلك أولًا ويبلغون عنه كتطبيق بريد معطّل.

الحجب على مستوى الوجهة أضيق وأصعب في الصيانة. يحتاج إلى المجموعة الكاملة من نقاط النهاية التي يستخدمها الحساب، بما في ذلك خدمات الاكتشاف والمصادقة، وإلى عملية لتحديثها. أخطئ واحدة فيعمل الحساب نصف عمل؛ وتُفرِط في التضمين فيتوقف بريد غير ذي صلة.

اختر حسب صياغة المتطلب. «هذا حساب العمل يجب ألا يتصل مباشرة» يشير إلى نطاق الوجهة. «هذا الـ Mac يجب ألا يشغّل البريد خارج الـ VPN» يبرر قاعدة التطبيق الأوسع، بشرط أن يقبل المالك الأثر الجانبي على الحساب الشخصي.

اختبر الرفض والغياب كلًا على حدة

بحساب اختبار مخصص، اتصل عبر الـ VPN وأكّد التشغيل الطبيعي. ثم افصل واختبر مرتين: مرة لترى هل يرفض الخادم تسجيل الدخول، ومرة لترى هل يحاول الـ Mac اتصالًا أصلًا. هاتان ملاحظتان مختلفتان وتنتميان إلى سجلات مختلفة.

راقب الأدلة على جهة العميل بحثًا عن SYN أو استعلام DNS أثناء الفصل، وسجل جهة الخادم بحثًا عن جلسة مرفوضة أو مقبولة. إذا رفض الخادم لكن العميل ما زال يحاول، فقاعدة الخادم تعمل وقاعدة العميل غائبة. إذا لم يحاول العميل لكن الخادم ما زال يقبل عملاء آخرين، فالحد في الموضع الذي وضعته تمامًا.

سجّل مالك الفرض، وعنوان المصدر الذي يراه الخادم فعليًا، وحساب الاختبار المستخدم. قد يحرّك تغيير الشبكة أو الوكيل التالي ذلك المصدر، وملاحظة تسمّي القيمة المرصودة أسرع في التحقق من جولة تخمين أخرى.