VPN падключаны, але IMAP не сінхранізуецца? Праверце гэтыя тры ўзроўні

Падключыцеся да офіснага VPN, адкрыйце паштовы кліент і паглядзіце, як уваходная скрыня адмаўляецца абнаўляцца, пакуль вэб-пошта загружацца нармальна. Звычайны дыягназ — што VPN прапускае трафік, але блакуе пошту, або што пароль уліковага запісу змяніўся. Абодва здагадкі прапускаюць структуру таго, што робіць кліент IMAP. Дакрануцца да хоста, завяршыць TLS, прайсці аўтэнтыфікацыю і выбраць скрыню — гэта чатыры розныя падзеі, і VPN валодае толькі першай.

Міф: адно злучэнне азначае адзін уваход

Перакананне такое: як толькі тунэль узняты і паштовы сервер адказвае, скрыня фактычна адкрыта. Гэта не так. VPN дае шлях да сэрвісу; ён не ўваходзіць у сістэму за вас і не выбірае папку. Кліент можа стаяць на чацвёртым з гэтых крокаў з цалкам працоўным тунэлем і сапраўдным паролем.

Менавіта ў гэтым прамежку і жывуць большасць паведамленняў «IMAP не працуе праз VPN».

Тры станы IMAP і дзе кліенты захрасаюць

IMAP вызначае стан без аўтэнтыфікацыі, стан з аўтэнтыфікацыяй і стан выбару, і каманды сапраўдныя толькі ў стане, які іх дазваляе. Злучэнне таксама можа пачацца ўжо аўтэнтыфікаваным, калі сервер прапануе папярэднюю аўтэнтыфікацыю, таму адсутнасць запыту пароля нічога не даказвае. Выбар скрыні пераводзіць сеанс са стану аўтэнтыфікацыі ў стан выбару, і толькі тады каманды, якія дзейнічаюць на паведамленні, маюць мэту.

Кліент, які паспяхова аўтэнтыфікуецца, а затым не можа выбраць наладжаную папку, будзе выглядаць як збой сінхранізацыі, пакуль сервер паводзіць сябе правільна. Пераназваныя папкі, правайдэр, які па-іншаму адлюстроўвае «уваходную», або адсутныя правы доступу — усё гэта трапляе сюды. Адказ NO з пазнакай ад сервера — гэта доказ, і гэта не той жа адказ, што адхілены пароль.

TLS ідзе перад размовай IMAP

Пры неяўным TLS на порце 993 рукапоціск TLS завяршаецца да адпраўкі любой каманды IMAP, таму праблема з сертыфікатам дае памылку, якая згадвае давер, а не пошту. Імя хоста пошты павінна правярацца супраць сертыфіката гэтак жа, як імя хоста вэб-сайта; тунэль, які захоўвае трафік, не робіць несапраўдны сертыфікат сапраўдным.

Тэкст памылкі раздзяляе выпадкі. Тайм-аўт злучэння азначае, што SYN так і не завяршыўся. Памылка TLS азначае, што TCP-злучэнне працавала, а рукапоціск — не. Адказ IMAP NO або BAD азначае, што абодва гэтыя крокі ўдаліся, і ўзровень пратаколу нешта адхіліў. Запішыце, што менавіта вы ўбачылі, перш чым змяняць любыя налады.

Кэшаваная пошта нічога не даказвае

Паштовы кліент паказвае раней спампаваныя паведамленні незалежна ад таго, ці можа ён сёння даткнуцца да сервера, таму ўваходная скрыня, якая адлюстроўваецца, гаворыць вам толькі пра тое, што лакальнае сховішча працуе. Любы рэальны тэст мусіць прымусіць аперацыю на серверы: абнавіць папку, атрымаць паведамленне, якое ніколі не спампоўвалася, або адаслаць каманду, якую кліент выдаў бы толькі пасля выбару скрыні.

Выкарыстоўвайце неразбуральную праверку. Абнаўленне адной папкі і чытанне журнала памылак уліковага запісу лепш за выдаленне і паўторнае даданне ўліковага запісу, што пераважна даказвае, што экран налад усё яшчэ працуе.

Адпраўка і вэб-пошта — розныя пратаколы

Адпраўка пошты — гэта падача, а не IMAP. Яна выкарыстоўвае асобны сэрвіс і звычайна асобны порт з уласным рэжымам TLS і ўласнай аўтэнтыфікацыяй, таму працоўная выходная скрыня не даказвае, што скрыня IMAP была выбрана, а зламаная выходная скрыня не ўскладае віну на IMAP.

Вэб-пошта зноў іншая. Яна можа працаваць праз той жа VPN, бо гэта сеанс HTTPS супраць вэб-інтэрфейсу, што нічога не кажа пра хост, порт або рэжым TLS кліента для працоўнага стала.

Для перадачы запішыце чатыры вынікі асобна: шлях VPN, вынік канчатковай кропкі пошты і TLS, вынік аўтэнтыфікацыі ўліковага запісу і вынік выбару скрыні. Трымайце ўліковыя даныя і змест паведамленняў па-за нататкай. Гэты запіс падказвае наступнаму чалавеку, ці выпраўленне належыць сетцы, сертыфікату, уліковаму запісу або канфігурацыі папкі, не паслабляючы ні адзін ахоўны слой.