E-pošta poslana preko VPN-a: gdje odgovor zaista odlazi

Pošaljete poruku kroz tunel, prekinete vezu i odgovor stigne sljedećeg jutra. Ništa u tome ne treba staru VPN adresu i ništa se u tome ne kvari. E-pošta ne usmjerava odgovore na adresu s koje je poruka poslana; ona ih usmjerava na poštansko sanduče. Tri puta se ovdje stapaju u jedno pitanje, a njihovo razdvajanje odgovara na većinu zabrinutosti.

Tri puta koja ljudi stapaju u jedan

Predaja, dostava i čitanje tri su odvojene veze i samo dvije od njih uključuju vaš uređaj.

Submission: your mail app  -> your mail service
Delivery:   other mail service -> your mailbox service
Reading:    your app now -> your mailbox service

VPN može uticati na prvu i treću, jer su to veze koje vaš uređaj uspostavlja. Ne može uticati na drugu, jer taj put ide između dva poštanska servera koje ne kontrolišete. Odgovor nije paket koji se vraća na adresu s koje ste poslali. To je nova poruka koju poštanska služba druge strane dostavlja vašoj službi poštanskog sandučeta.

Kad držite ta tri odvojeno, pitanje da li će vas odgovor pronaći prestaje biti tajanstveno.

Polje Reply-To je adresa, a ne ruta

RFC 5322 definiše Reply-To kao poštansko sanduče ili sandučeta na koja odgovore treba slati. Bez njega uobičajeni je zadani From sanduče, osim ako osoba koja odgovara upiše nešto drugo. Oba su poštanske adrese u zaglavlju. Nijedno nije uputa da se ponovo otvori mrežna veza koja je predala izvornu poruku.

Zato se adresa VPN izlaza nikada ne pojavljuje na putu odgovora. Čak i kad je server za predaju tu izlaznu adresu negdje zabilježio, odgovor je adresiran na poštansko sanduče, a server pošiljaoca traži poštanski razmjenjivač domena, a ne vaš stari socket.

Ako odgovor ode negdje neočekivano, pročitajte Reply-To i vlastite postavke klijenta pošiljaoca prije nego što posumnjate na tunel.

Šta zapisi u zaglavljima za praćenje zaista bilježe

Svaki SMTP skok dodaje zaglavlje Received koje opisuje vezu koju je obradio, a najgornje je posljednji skok prije dostave. Predana poruka zato može nositi mrežne pojedinosti koje vrijedi pregledati, a te pojedinosti pišu serveri, a ne birate ih vi. Šta sadrže zavisi od arhitekture predaje kod pružaoca usluge i njegovog rukovanja zaglavljima.

Čitajte ih umjesto da nagađate, iz sačuvane poruke:

grep -E '^(Received|Return-Path|Reply-To|From):' message.eml

Korisna disciplina je utvrditi koja je pouzdana usluga dodala svako polje. Proizvoljan tekst ranije u bloku zaglavlja nije pouzdan dokaz, a naziv proizvoda nije trajno obećanje da je vaša kućna adresa uvijek prisutna ili uvijek odsutna.

Čitanje pošte kasnije je nova veza

Kad otvorite odgovor, vaš klijent se povezuje s vašom službom poštanskog sandučeta preko mreže na kojoj ste sada. To je svježa veza s vlastitom izvornom adresom, a ne nastavak jučerašnjeg soketa za predaju. Ona slijedi trenutnu politiku mreže koju u tom trenutku koristite.

Udaljeni sadržaj je opet treća stvar. Klijent e-pošte koji učitava udaljenu sliku ili slijedi vezu radi poseban zahtjev prema svojim trenutnim postavkama, a taj zahtjev može nositi sve identifikatore koje je poruka ugradila. To nije SMTP odgovor koji stiže na staru adresu, a tretiranje kao da jeste skriva stvarnu izloženost.

Isključite udaljeni sadržaj ako želite pročitati poruku a da ne objavite da ste je otvorili.

Šta provjeriti prije nego to nazovete curenjem

Počnite s prikazom izvorne poruke i poljem Reply-To. Zatim utvrdite koja je usluga dodala zapise Received koji vas brinu i uporedite to s trenutnom dokumentacijom pružaoca usluge, a ne sa starim odgovorom s foruma.

Na kraju razdvojite pitanja: šta je server za predaju primijetio, šta je dodao lanac dostave i šta je vaš klijent zatražio kad ste otvorili poruku?

Odgovoriti na ta tri odvojeno više je posla nego provjeriti IP stranicu i to je jedina verzija koja daje zaključak koji možete braniti. Odgovor na adresu e-pošte ne otkriva vašu kućnu adresu i ne zahtijeva da stari tunel ostane uključen.