VPN متصل لكن IMAP لا يزامن؟ تحقق من هذه الطبقات الثلاث

اتصل بشبكة VPN الخاصة بالمكتب، وافتح عميل البريد، وراقب صندوق الوارد وهو يرفض التحديث بينما يعمل البريد الويب بشكل طبيعي. التشخيص المعتاد هو أن VPN تمرر حركة المرور لكنها تحجب البريد، أو أن كلمة مرور الحساب تغيرت. كلا التخمينين يتجاهل بنية ما يفعله عميل IMAP. الوصول إلى المضيف، وإكمال TLS، والمصادقة، واختيار صندوق بريد هي أربعة أحداث مختلفة، وVPN لا تملك إلا الأول.

الأسطورة: اتصال واحد يعني تسجيل دخول واحد

الاعتقاد السائد هو أن صندوق البريد مفتوح فعليًا بمجرد أن يصبح النفق قائمًا ويستجيب خادم البريد. الأمر ليس كذلك. توفر VPN مسارًا إلى الخدمة؛ وهي لا تسجّل دخولك، ولا تختار مجلدًا. يمكن للعميل أن يبقى عند الخطوة الرابعة من تلك الخطوات مع نفق يعمل تمامًا وكلمة مرور صالحة.

هذه الفجوة هي المكان الذي تعيش فيه معظم تقارير «IMAP معطل عبر VPN» فعليًا.

ثلاث حالات لـ IMAP، وأين يتعثر العملاء

يعرّف IMAP حالة غير مصادق عليها، وحالة مصادق عليها، وحالة محددة، والأوامر صالحة فقط في الحالة التي تسمح بها. قد تبدأ الاتصال مصادقًا عليه بالفعل عندما يقدم الخادم المصادقة المسبقة، لذا فإن غياب مطالبة كلمة المرور لا يثبت شيئًا في أي اتجاه. اختيار صندوق بريد ينقل الجلسة من مصادق عليها إلى محددة، وعندها فقط يكون للأوامر التي تعمل على الرسائل هدف.

العميل الذي ينجح في المصادقة ثم يفشل في اختيار المجلد المهيأ سيبدو كفشل في المزامنة بينما يتصرف الخادم بشكل صحيح. المجلدات المعاد تسميتها، أو مزود يعيّن «صندوق الوارد» بشكل مختلف، أو حقوق وصول مفقودة كلها تنتهي هنا. استجابة NO الموسومة من الخادم هي الدليل، وهي ليست نفس الاستجابة لكلمة مرور مرفوضة.

TLS يأتي قبل محادثة IMAP

مع TLS الضمني على المنفذ 993، تكتمل مصافحة TLS قبل إرسال أي أمر IMAP، ولهذا السبب تنتج مشكلة الشهادة خطأً يذكر الثقة بدلًا من البريد. يجب أن يُتحقق من اسم مضيف البريد مقابل الشهادة بالطريقة نفسها التي يُتحقق بها من اسم مضيف الويب؛ النفق الذي يحافظ على حركة المرور لا يجعل الشهادة غير الصالحة صالحة.

نص الخطأ يفصل بين الحالات. مهلة الاتصال تعني أن SYN لم يكتمل أبدًا. خطأ TLS يعني أن اتصال TCP عمل ولم تكتمل المصافحة. استجابة IMAP NO أو BAD تعني أن كليهما نجح وأن طبقة البروتوكول رفضت شيئًا. سجّل أي واحدة رأيت قبل تغيير أي إعداد.

البريد المخزن مؤقتًا ليس دليلًا على شيء

يعرض عميل البريد الرسائل التي نُزّلت سابقًا سواء أكان قادرًا على الوصول إلى الخادم اليوم أم لا، لذا فإن صندوق الوارد الذي يُعرض يخبرك فقط أن التخزين المحلي يعمل. أي اختبار حقيقي يجب أن يفرض عملية على الخادم: تحديث مجلد، أو جلب رسالة لم تُنزّل قط، أو إرسال أمر لا يصدره العميل إلا بعد اختيار صندوق البريد.

استخدم فحصًا غير مدمّر. تحديث مجلد واحد وقراءة سجل أخطاء الحساب أفضل من حذف الحساب وإعادة إضافته، وهو ما يثبت في الغالب أن شاشة الإعدادات لا تزال تعمل.

الإرسال والبريد الويب بروتوكولان مختلفان

إرسال البريد هو إرسال، وليس IMAP. فهو يستخدم خدمة منفصلة، وعادة منفذًا منفصلًا بنمط TLS خاص به ومصادقة خاصة به، لذا فإن صندوق صادر يعمل لا يثبت أن صندوق بريد IMAP قد اختير، وصندوق صادر معطل لا يدين IMAP.

البريد الويب مختلف مرة أخرى. يمكنه أن ينجح عبر نفس VPN لأنه جلسة HTTPS ضد واجهة ويب أمامية، وهذا لا يقول شيئًا عن مضيف IMAP أو منفذ عميل سطح المكتب أو نمط TLS.

من أجل التسليم، سجّل أربع نتائج بشكل منفصل: مسار VPN، ونتيجة نقطة نهاية البريد و TLS، ونتيجة مصادقة الحساب، ونتيجة اختيار صندوق البريد. أبقِ بيانات الاعتماد ومحتويات الرسائل خارج الملاحظة. يُخبر هذا السجل الشخص التالي ما إذا كان الإصلاح يخص الشبكة أو الشهادة أو الحساب أو تهيئة المجلد، دون إضعاف أي من طبقتي الحماية.