Mae post yn cyrraedd y gweinydd heb VPN: ble i orfodi’r rheol

Mae’r post yn dal i holi ac mae’r VPN i lawr, ond mae’r cyfrif yn dal i gydamseru. Mae’r ap yn gwneud yr hyn y cafodd ei ffurfweddu i’w wneud; nid oes dim mewn proffil post arferol yn dweud bod y gweinydd yn cyrraeddadwy dim ond drwy’r twnnel. Mae hynny’n gadael dau ofyniad gwahanol, ac maen nhw’n hawdd eu cymysgu: dylai’r gwasanaeth wrthod cleientiaid uniongyrchol, neu na ddylai’r Mac wneud yr ymgais o gwbl.

Dewiswch y gofyniad cyn dewis cynnyrch. Mae rheol gweinydd a rheol cleient yn methu mewn mannau gwahanol, yn cynhyrchu tystiolaeth wahanol ac yn perthyn i berchnogion gwahanol. Mae cymhwyso’r ddwy yn ddilys pan fo’r ddau ddatganiad yn wir, ond nid yw’r naill yn cymryd lle’r llall. Mae’r ddau ofyniad yn gyfreithlon; nid yr un rheolaeth ydynt.

Mae’r symptom yn edrych fel y Mac, ond gall y gweinydd fod yn ollwng

Pan fo’r post yn cydamseru y tu allan i’r twnnel, dechreuwch â’r hyn y mae’r gweinydd yn ei dderbyn. Os yw’r gwrandawr post yn ateb cysylltiad uniongyrchol o’r rhyngrwyd, nid oes unrhyw osodiad cyfleustra ar ochr y cleient yn newid y ffaith honno. Mae’r Mac yn ymddwyn yn normal tuag at wasanaeth sydd dal ar agor.

Gofynnwch i weinyddwr y post pa gyfeiriad ffynhonnell y mae’r gwasanaeth yn ei weld. Gall porth VPN, dirprwy gwrthdro neu falansydd llwyth drosi cyfeiriad y cleient, felly efallai na fydd y pwll cyfeiriadau yng nghyfluniad y VPN yn cyfateb i’r hyn sy’n cyrraedd y broses post. Mae rheol a ysgrifennwyd yn erbyn y ffynhonnell anghywir naill ai’n rhwystro pawb neu’n rhwystro neb.

Mae’r ateb hwnnw hefyd yn dweud a all y gwasanaeth wahaniaethu cleientiaid VPN o gwbl. Os yw pob cleient yn cyrraedd drwy’r un cyfeiriad dirprwy, ni all derbyniad yn seiliedig ar ffynhonnell eu gwahanu, ac mae’n rhaid symud y gofyniad i ddilysu neu i ochr y cleient.

Derbyniad gweinydd: gwrthodwch y ffynhonnell, nid yr ap

Gall mur gwarchod gwesteiwr neu rwydwaith gyfyngu’r gwrandawr post i ystodau ffynhonnell a gymeradwywyd tra’n gadael dilysu a TLS heb eu newid. Mae amod rheol sy’n cyfateb cyfeiriadau pell, is-rwydweithiau neu ystodau yn floc adeiladu arferol; mae’r gystrawen fanwl yn perthyn i gynnyrch mur gwarchod y gweinydd, nid i’r ap post.

Dyma’r ffin gryfaf pan fo’r gofyniad yn „na ddylai’r gwasanaeth wasanaethu cleientiaid uniongyrchol“. Mae’n dal hyd yn oed os yw’r defnyddiwr yn gosod cleient post arall, oherwydd mae’r gwrthodiad yn digwydd cyn dilysu. Mae hefyd yn goroesi Mac sy’n anwybyddu ei bolisi VPN.

Mae ei derfyn yr un mor bwysig. Mae cysylltiad a wrthodwyd yn profi bod y gwasanaeth wedi gwrthod y sesiwn; nid yw’n profi na wnaeth y Mac unrhyw ymgais. Gall datrysiad DNS, TCP SYN i falansydd llwyth cynharach ac ailgynnig ar ôl methiant ddigwydd i gyd cyn cyrraedd rheol y gweinydd. Os yw’r gofyniad yn ymwneud â datgelu ymgeisiau yn hytrach nag â mynediad, dim ond hanner y rheolaeth yw derbyniad gweinydd.

Gorfodi ar y cleient: rhwystrwch yr ymgais, nid yn unig y twnnel

Rhaid i reol ochr y cleient wahardd y traffig, nid yn unig gychwyn twnnel pan agorir post. Gall sbardun actifadu ar gyfer parth post godi’r VPN ar yr adeg iawn, ond nid yw’n diffinio beth sy’n digwydd tra mae’r twnnel i lawr neu ar ôl iddo fethu.

Defnyddiwch y polisi rhwystro a gefnogir gan gynnyrch y pwynt terfyn a diffiniwch ei gwmpas yn fwriadol. Mae rheol ar lefel ap yn cwmpasu pob cyfrif yn y rhaglen post honno, gan gynnwys rhai personol. Rhaid i reol ar lefel cyrchfan enwi pwyntiau terfyn IMAP, cyflwyno a dilysu’r cyfrif gwaith, a rhaid iddi barhau i weithio pan fydd y cyfeiriadau hynny’n newid.

Cwmpaswch y ddwy deulu cyfeiriad a’r sesiynau presennol. Mae polisi sy’n rhwystro cysylltiadau IPv4 newydd tra’n gadael IPv6 neu soced sefydledig heb sylw yn cynhyrchu cydamseriadau ysbeidiol sy’n edrych yn hap. Mae newidiadau rhwydwaith a chylchoedd cwsg yn rhan o’r un prawf.

Mae gan reolau lefel ap a lefel cyrchfan gwmpas effaith gwahanol

Mae rhwystr ar lefel ap yn syml i’w ddeall: nid oes traffig o’r Post yn gadael heb y twnnel. Mae hefyd yn drwsgl, oherwydd gall yr un ap ddal cyfrif personol nad oes ganddo ddim i’w wneud â’r polisi. Mae defnyddwyr yn sylwi ar hynny gyntaf ac yn ei riportio fel ap post wedi torri.

Mae rhwystr ar lefel cyrchfan yn gulach ac yn anoddach ei gynnal. Mae angen y set gyflawn o bwyntiau terfyn y mae’r cyfrif yn eu defnyddio, gan gynnwys gwasanaethau darganfod a dilysu, a phroses i’w diweddaru. Collwch un ac mae’r cyfrif yn gweithio’n hanner; cynhwyswch ormod ac mae post anghysylltiedig yn stopio.

Dewiswch yn ôl geiriad y gofyniad. Mae „na ddylai’r cyfrif gwaith hwn gysylltu’n uniongyrchol“ yn cyfeirio at gwmpas cyrchfan. Mae „na ddylai’r Mac hwn redeg post y tu allan i’r VPN“ yn cyfiawnhau’r rheol ap ehangach, ar yr amod bod y perchennog yn derbyn sgil-effaith y cyfrif personol.

Profwch wrthodiad ac absenoldeb ar wahân

Gyda chyfrif prawf pwrpasol, cysylltwch drwy’r VPN a chadarnhau gweithrediad normal. Yna datgysylltwch a phrofi ddwywaith: unwaith i weld a yw’r gweinydd yn gwrthod y mewngofnodi, ac unwaith i weld a yw’r Mac yn ceisio cysylltiad o gwbl. Mae’r rhain yn arsylliadau gwahanol ac maen nhw’n perthyn i wahanol logs.

Gwyliwch y dystiolaeth ar ochr y cleient am SYN neu ymholiad DNS tra’n ddatgysylltiedig, a log yr ochr weinydd am sesiwn a wrthodwyd neu a dderbyniwyd. Os yw’r gweinydd yn gwrthod ond mae’r cleient yn dal i geisio, mae rheol y gweinydd yn gweithio ac mae rheol y cleient ar goll. Os nad yw’r cleient yn gwneud ymgais ond mae’r gweinydd yn dal i dderbyn cleientiaid eraill, mae’r ffin yn union lle y gwnaethoch ei rhoi.

Cofnodwch berchennog y gorfodaeth, y cyfeiriad ffynhonnell y mae’r gweinydd yn ei weld mewn gwirionedd, a’r cyfrif prawf a ddefnyddiwyd. Gall y newid rhwydwaith neu ddirprwy nesaf symud y ffynhonnell honno, ac mae nodyn sy’n enwi’r gwerth a arsylwyd yn gyflymach i’w wirio na rownd arall o ddyfalu.