Пощата работи без VPN: дали минава тайно през тунел?
Профилът в Exchange не избира шлюз, протокол или маршрут. Установете разгръщането, публичния вход, управлявания VPN или активния тунел, преди да предполагате.
Пощата продължава да пристига на телефон, който никога не е показвал икона за VPN, и естественият извод е, че нещо невидимо я прокарва през тунел. Обикновено не участва нищо невидимо. Добавянето на профил в Exchange не избира шлюз, протокол, сертификат или маршрут, защото профилът е идентичност на услуга, а тунелът е мрежова схема, настроена от някой друг. Полезният ход е да установите каква схема всъщност имате, вместо да търсите тунел, който никога не е съществувал.
Три схеми, един и същ екран
И трите завършват с поща на устройството, а екранът с настройки изглежда еднакво във всеки случай. Разликата е кой е настроил пътя и какво доказателство потвърждава, че съществува.
| Arrangement | Who set it up | What proves it |
|---|---|---|
| Approved public mail entry | The service owner, at the publishing layer | A published endpoint reached over TLS with its own authentication |
| Managed app or account VPN | Device management, as explicit policy | A profile binding that traffic to a VPN association |
| Already active tunnel | An always-on service or an earlier manual connect | Tunnel state plus routes and scope that include the mail destination |
Публичната достъпност заслужава собствено изречение, защото постоянно се разчита погрешно. Публикуваната пощенска услуга не е услуга без удостоверяване и фактът, че пощата е достъпна, не казва нищо за останалата корпоративна мрежа. Това са отделни решения, взети от отделни хора.
Какво всъщност може да обвърже управлението на устройства
Платформите на Apple поддържат правила за VPN по приложение и по пощенски домейн, а управляваната поща в iOS или iPadOS може да носи обвързване с VPN, специфично за профила. Това обвързване е настройка за предоставяне със стойност, която някой е избрал, и точно затова не може да бъде изведено от въвеждане на имейл адрес и парола в телефон.
Управлението на Android и клиентите на трети страни имат свои контроли за приложения и профили и нито една от тях не е взаимозаменяема с товарите за профил на Apple. Политика, която съществува на една платформа, трябва съзнателно да бъде възпроизведена на друга. Тя не пътува с пощенския профил и не се появява, защото същият човек е влязъл и в двете. Очакването този пренос да стане сам е в основата на голяма част от междуплатформените доклади „работи на моя телефон“.
Идентичност и транспорт остават разделени
Пощенска услуга и VPN могат законно да споделят директория или доставчик на идентичност и хората приемат този споделен вход като доказателство за споделена сесия. Не е така. Повтарящият се текст на потребителското име не показва, че пощенското приложение е наследило VPN сесия, и не е причина да се измислят несвързани пароли за всяка услуга.
И двете услуги изискват собствено удостоверяване при свои условия. Успешният вход в пощата никога не бива да се приема като нещо, което да се постави в VPN клиент, а вдигнат тунел не казва нищо за това кой профил ще приеме пощенският сървър. Справката за пощенски профил в Intune е полезен пример тук, защото третира обвързването с VPN като отделна настройка, а не като свойство, произтичащо от името на профила.
Свежата синхронизация побеждава кеширана пощенска кутия
Кешираната пощенска кутия може да изглежда напълно здрава без никакъв текущ път, затова отварянето на приложението и виждането на съобщения от миналата седмица не доказва нищо. Използвайте одобрен тест за свежа синхронизация и прочетете доказателствата за състоянието или журнала, които идват с него.
След това проверете четирите неща, които всъщност определят изхода: конфигурираната крайна точка на услугата, какво връща резолверът, кой управляван профил се прилага и текущото състояние на VPN. Правете го в правилния контекст, защото лично пощенско приложение с подобно име не се управлява от мрежовата политика на работното приложение и ще се държи различно по напълно законни причини. Смесването на тези два контекста е начинът, по който работеща конфигурация се докладва като счупена. Това обяснява и повечето случаи, в които едно приложение се подчинява на политика, а почти едноименният му близнак я пренебрегва.
Запишете какво сте проверили
Ако достъпът трябва да изисква тунел, собственикът следва да потвърди както разрешения частен път, така и поведението без него. Ако услугата е умишлено публикувана, запазете проверката на TLS, удостоверяването и контрола на достъпа на място, вместо да приемате липсата на тунел като доказателство, че пощата не е криптирана.
Записът за поддръжка трябва да посочи пощенския продукт, крайната точка, обхвата на профила и политиката за връзка. Еднаквите пароли не са доказателство за нито едно от тези четири и това е най-честата причина една заявка да съдържа четири абзаца и никакви факти.