VPN е свързан, но IMAP не се синхронизира? Проверете тези три слоя

Свържете се с офис VPN, отворете пощенския клиент и гледайте как входящата кутия отказва да се обнови, докато уеб пощата се зарежда нормално. Обичайната диагноза е, че VPN пропуска трафик, но блокира пощата, или че паролата на акаунта е сменена. И двете догадки пропускат структурата на това, което прави IMAP клиентът. Достигането до хоста, завършването на TLS, удостоверяването и избирането на пощенска кутия са четири различни събития и VPN притежава само първото.

Митът: една връзка означава едно влизане

Вярването е, че щом тунелът е вдигнат и пощенският сървър отговори, кутията е на практика отворена. Не е. VPN осигурява път до услугата; тя не ви вписва и не избира папка. Клиентът може да стои на четвъртата от тези стъпки с напълно работещ тунел и валидна парола.

Именно в тази разлика живеят повечето доклади „IMAP не работи през VPN“.

Три състояния на IMAP и къде клиентите засядат

IMAP дефинира неудостоверено състояние, удостоверено състояние и избрано състояние и командите са валидни само в състоянието, което ги разрешава. Връзката може да започне вече удостоверена, когато сървърът предлага предварително удостоверяване, така че липсата на подкана за парола не доказва нищо. Избирането на пощенска кутия премества сесията от удостоверена към избрана и само тогава командите, които работят с писма, имат цел.

Клиент, който се удостовери успешно и след това не успее да избере конфигурираната папка, ще изглежда като проблем със синхронизацията, докато сървърът се държи правилно. Преименувани папки, доставчик, който съпоставя „входяща“ по друг начин, или липсващи права за достъп — всичко това попада тук. Отговорът NO с етикет от сървъра е доказателството и той не е същият отговор като отхвърлена парола.

TLS идва преди разговора по IMAP

При имплицитен TLS на порт 993 TLS ръкостискането завършва преди да бъде изпратена каквато и да е IMAP команда, поради което проблем със сертификат дава грешка, която споменава доверие, а не поща. Името на пощенския хост трябва да се валидира срещу сертификата по същия начин, както името на уеб хост; тунел, който запазва трафика, не прави невалидния сертификат валиден.

Текстът на грешката разделя случаите. Изтичане на времето за връзка означава, че SYN никога не е завършил. TLS грешка означава, че TCP връзката е работила, а ръкостискането — не. Отговор IMAP NO или BAD означава, че и двете са успели и протоколният слой е отхвърлил нещо. Запишете кой от тях сте видели, преди да промените каквато и да е настройка.

Кешираната поща не е доказателство за нищо

Пощенският клиент показва предишно изтеглени писма независимо дали днес може да достигне до сървъра, така че изобразена входяща кутия ви казва само, че локалното хранилище работи. Всеки реален тест трябва да принуди операция на сървъра: обновете папка, изтеглете писмо, което никога не е било изтегляно, или изпратете команда, която клиентът би издал само след избиране на кутията.

Използвайте неразрушителна проверка. Обновяването на една папка и четенето на журнала за грешки на акаунта е по-добро от изтриването и повторното добавяне на акаунта, което най-вече доказва, че екранът с настройки все още работи.

Изпращането и уеб пощата са различни протоколи

Изпращането на поща е подаване, не IMAP. То използва отделна услуга и обикновено отделен порт със свой TLS режим и своето удостоверяване, така че работеща изходяща кутия не доказва, че IMAP кутията е избрана, а счупена изходяща кутия не обвинява IMAP.

Уеб пощата е отново различна. Тя може да успее през същия VPN, защото е HTTPS сесия към уеб интерфейс, което не казва нищо за IMAP хоста, порта или TLS режима на настолния клиент.

За предаване запишете четири резултата поотделно: пътя на VPN, резултата от крайната точка на пощата и TLS, резултата от удостоверяването на акаунта и резултата от избора на пощенска кутия. Дръжте идентификационните данни и съдържанието на писмата извън бележката. Този запис казва на следващия човек дали поправката принадлежи на мрежата, сертификата, акаунта или конфигурацията на папката, без да отслабва нито един защитен слой.