Имейл, изпратен през VPN: къде всъщност отива отговорът

Изпращате съобщение през тунела, прекъсвате връзката и отговорът пристига на следващата сутрин. Нищо в това не се нуждае от стария VPN адрес и нищо в него не се чупи. Имейлът не насочва отговорите към адреса, от който е изпратено съобщението; той ги насочва към пощенска кутия. Три пътя се свиват тук в един въпрос и разделянето им отговаря на по-голямата част от притеснението.

Три пътя, които хората свиват в един

Подаване, доставка и четене са три отделни връзки и само две от тях включват вашето устройство.

Submission: your mail app  -> your mail service
Delivery:   other mail service -> your mailbox service
Reading:    your app now -> your mailbox service

VPN може да повлияе на първата и на третата, защото това са връзки, които вашето устройство осъществява. Той не може да повлияе на втората, защото този път минава между два пощенски сървъра, които не контролирате. Отговорът не е пакет, който се връща към адреса, от който сте изпратили. Това е ново съобщение, което пощенската услуга на другата страна доставя до вашата услуга за пощенска кутия.

Щом държите тези три отделно, въпросът дали отговорът ще ви намери престава да бъде загадъчен.

Полето Reply-To е адрес, а не маршрут

RFC 5322 дефинира Reply-To като пощенската кутия или кутии, до които трябва да се изпращат отговорите. Без него обичайната стойност по подразбиране е кутията From, освен ако отговарящият не въведе нещо друго. И двете са пощенски адреси в заглавка. Никое от тях не е указание да се отвори отново мрежовата връзка, подала оригиналното съобщение.

Ето защо адрес на VPN изход никога не се появява в пътя на отговора. Дори когато сървърът за подаване е записал този изходен адрес някъде, отговорът е адресиран до пощенска кутия и изпращащият сървър търси пощенския обменник на домейна, а не стария ви сокет.

Ако отговор отиде на неочаквано място, прочетете Reply-To и собствените настройки на клиента на подателя, преди да подозирате тунела.

Какво всъщност записват заглавките за проследяване

Всеки SMTP хоп добавя заглавка Received, описваща връзката, която е обработил, а най-горната е последният хоп преди доставката. Затова подадено съобщение може да носи мрежови подробности, които си струва да прегледате, и тези подробности се пишат от сървъри, а не се избират от вас. Какво съдържат зависи от архитектурата за подаване на доставчика и от обработката на заглавките.

Четете ги вместо да гадаете, от запазено съобщение:

grep -E '^(Received|Return-Path|Reply-To|From):' message.eml

Полезната дисциплина е да установите коя доверена услуга е добавила всяко поле. Произволен текст по-рано в блока със заглавки не е надеждно доказателство, а името на продукт не е вечно обещание, че домашният ви адрес винаги присъства или винаги отсъства.

Четенето на поща по-късно е нова връзка

Когато отворите отговора, клиентът ви се свързва с услугата за пощенска кутия през мрежата, в която се намирате сега. Това е свежа връзка със свой собствен адрес на източника, а не продължение на вчерашния сокет за подаване. Тя следва текущата политика на мрежата, която използвате в този момент.

Отдалеченото съдържание е още трето нещо. Пощенски клиент, който зарежда отдалечено изображение или следва връзка, прави отделна заявка при текущите си настройки и тази заявка може да носи каквито и да е идентификатори, вградени в съобщението. Това не е SMTP отговорът, пристигащ на стар адрес, и да го третирате като такъв крие реалната експозиция.

Изключете отдалеченото съдържание, ако искате да прочетете съобщение, без да обявявате, че сте го отворили.

Какво да проверите, преди да го наречете изтичане

Започнете с изгледа на оригиналното съобщение и полето Reply-To. След това установете коя услуга е добавила записите Received, които ви притесняват, и сравнете това с текущата документация на доставчика, а не със стар отговор във форум.

Накрая отделете въпросите: какво е наблюдавал сървърът за подаване, какво е добавила веригата за доставка и какво е поискал клиентът ви, когато сте отворили съобщението?

Отговарянето на тези три поотделно е повече работа от проверка на IP страница и е единственият вариант, който дава заключение, което можете да защитите. Отговорът на имейл адрес не разкрива домашния ви адрес и не изисква старият тунел да остане включен.