VPN connectat però l’IMAP no se sincronitza? Reviseu aquestes tres capes

Connecteu-vos a la VPN de l’oficina, obriu el client de correu i observeu com la safata d’entrada es nega a actualitzar-se mentre el webmail carrega amb normalitat. El diagnòstic habitual és que la VPN deixa passar el trànsit però bloqueja el correu, o que la contrasenya del compte ha canviat. Totes dues conjectures s’alten la estructura del que fa un client IMAP. Arribar a l’amfitrió, completar TLS, autenticar-se i seleccionar una bústia són quatre esdeveniments diferents, i la VPN només posseeix el primer.

El mite: una connexió vol dir un inici de sessió

La creença és que, un cop el túnel és aixecat i el servidor de correu respon, la bústia està efectivament oberta. No ho està. La VPN proporciona un camí fins al servei; no us inicia la sessió i no selecciona cap carpeta. Un client pot quedar-se al quart d’aquests passos amb un túnel perfectament funcional i una contrasenya vàlida.

És en aquest buit on viuen en realitat la majoria d’informes de «l’IMAP no funciona amb VPN».

Tres estats d’IMAP i on s’encallen els clients

IMAP defineix un estat no autenticat, un estat autenticat i un estat seleccionat, i les ordres només són vàlides en l’estat que les permet. Una connexió també pot començar ja autenticada quan el servidor ofereix autenticació prèvia, així que l’absència d’una petició de contrasenya no demostra res en cap sentit. Seleccionar una bústia mou la sessió d’autenticada a seleccionada, i només aleshores les ordres que actuen sobre missatges tenen un objectiu.

Un client que s’autentica correctament i després no aconsegueix seleccionar la carpeta configurada semblarà un error de sincronització mentre el servidor es comporta correctament. Carpetes reanomenades, un proveïdor que assigna «safata d’entrada» de manera diferent o permisos d’accés que falten acaben tots aquí. La resposta NO etiquetada del servidor és l’evidència, i no és la mateixa resposta que una contrasenya rebutjada.

TLS arriba abans de la conversa IMAP

Amb TLS implícit al port 993, l’apretada de mans TLS es completa abans que s’enviï cap ordre IMAP, i per això un problema de certificat produeix un error que esmenta la confiança i no el correu. El nom d’amfitrió del correu s’ha de validar contra el certificat de la mateixa manera que un nom d’amfitrió web; un túnel que conserva el trànsit no fa vàlid un certificat no vàlid.

El text de l’error separa els casos. Un temps d’espera de connexió significa que el SYN mai no es va completar. Un error TLS significa que la connexió TCP va funcionar i l’apretada de mans no. Una resposta IMAP NO o BAD significa que tots dos van reeixir i que la capa de protocol va rebutjar alguna cosa. Anoteu quina vau veure abans de canviar cap paràmetre.

El correu en memòria cau no és prova de res

Un client de correu mostra missatges descarregats prèviament tant si avui pot arribar al servidor com si no, així que una safata d’entrada que es mostra només us diu que l’emmagatzematge local funciona. Qualsevol prova real ha de forçar una operació al servidor: actualitzeu una carpeta, baixeu un missatge que mai no s’havia descarregat o envieu una ordre que el client només emetria després de seleccionar la bústia.

Feu servir una comprovació no destructiva. Actualitzar una carpeta i llegir el registre d’errors del compte és millor que eliminar i tornar a afegir el compte, cosa que sobretot demostra que la pantalla de configuració encara funciona.

Enviar i webmail són protocols diferents

Enviar correu és submissió, no IMAP. Utilitza un servei separat i normalment un port separat amb el seu propi mode TLS i la seva pròpia autenticació, així que una safata de sortida que funciona no demostra que s’hagi seleccionat la bústia IMAP, i una safata de sortida trencada no incrimina IMAP.

El webmail torna a ser diferent. Pot funcionar sobre la mateixa VPN perquè és una sessió HTTPS contra un frontal web, cosa que no diu res sobre l’amfitrió IMAP, el port o el mode TLS del client d’escriptori.

Per a un traspàs, anoteu quatre resultats per separat: el camí de la VPN, el resultat del punt final de correu i TLS, el resultat de l’autenticació del compte i el resultat de la selecció de la bústia. Mantingueu les credencials i el contingut dels missatges fora de la nota. Aquest registre diu a la persona següent si la solució pertany a la xarxa, al certificat, al compte o a la configuració de carpetes, sense debilitar cap de les dues capes de protecció.