Mail virker uden VPN: bliver den i hemmelighed sendt gennem en tunnel?
En Exchange-konto vælger ikke en gateway, en protokol eller en rute. Fastslå udrulningen, den offentlige indgang, den administrerede VPN eller den aktive tunnel, før du antager noget.
Mail bliver ved med at ankomme til en telefon, der aldrig har vist et VPN-ikon, og den naturlige konklusion er, at noget usynligt tunnelerer den. Normalt er der intet usynligt involveret. Tilføjelse af en Exchange-konto vælger ikke en gateway, en protokol, et certifikat eller en rute, fordi en konto er en tjenesteidentitet, og en tunnel er et netværksarrangement, som en anden har konfigureret. Det nyttige skridt er at fastslå, hvilket arrangement du faktisk har, i stedet for at jagte en tunnel, der aldrig har været der.
Tre arrangementer, én identisk skærm
Alle tre ender med, at mail vises på enheden, og indstillingsskærmen ser ens ud i hvert tilfælde. Det, der er forskelligt, er hvem der konfigurerede stien, og hvilket bevis der påviser, at den findes.
| Arrangement | Who set it up | What proves it |
|---|---|---|
| Approved public mail entry | The service owner, at the publishing layer | A published endpoint reached over TLS with its own authentication |
| Managed app or account VPN | Device management, as explicit policy | A profile binding that traffic to a VPN association |
| Already active tunnel | An always-on service or an earlier manual connect | Tunnel state plus routes and scope that include the mail destination |
Offentlig tilgængelighed fortjener sin egen sætning, fordi den konstant læses forkert. En offentliggjort mailtjeneste er ikke en uautentificeret tjeneste, og det faktum, at mail er tilgængelig, siger intet om, hvorvidt resten af virksomhedens netværk er det. Det er separate beslutninger truffet af separate personer.
Hvad enhedsadministration faktisk kan binde
Apple-platforme understøtter VPN-regler for hver app og hvert maildomæne, og administreret mail på iOS eller iPadOS kan bære en kontospecifik VPN-tilknytning. Den tilknytning er en klargøringsindstilling med en værdi, som nogen har valgt, og det er netop derfor, den ikke kan udledes ved at taste en e-mailadresse og en adgangskode ind på en telefon.
Android-administration og tredjepartsklienter har deres egne app- og profilkontroller, og ingen af dem kan udskiftes med Apples kontonyttedele. En politik, der findes på én platform, skal bevidst genskabes på en anden. Den rejser ikke med mailkontoen, og den kommer ikke, fordi den samme person har logget ind på begge. Forventningen om, at den overførsel sker af sig selv, ligger bag en stor del af platformsovergribende rapporter om, at »det virker på min telefon«.
Identitet og transport forbliver adskilt
En mailtjeneste og en VPN kan legitimt dele en mappe eller en identitetsudbyder, og folk læser den fælles login som bevis for en fælles session. Det er den ikke. Gentagen brugernavntekst viser ikke, at mailappen har arvet en VPN-session, og det er ingen grund til at opfinde urelaterede adgangskoder til hver tjeneste.
Begge tjenester kræver deres egen autentificering på deres egne betingelser. En vellykket maillogin bør aldrig behandles som noget, der skal indsættes i en VPN-klient, og en tunnel, der kom op, siger intet om, hvilken konto mailserveren vil acceptere. Intune-mailprofilreferencen er en nyttig illustration her, fordi den behandler VPN-tilknytningen som en særskilt indstilling frem for en egenskab afledt af kontonavnet.
Frisk synkronisering slår en cachelagret indbakke
En cachelagret indbakke kan se helt sund ud uden nogen aktuel sti overhovedet, og derfor beviser det intet at åbne appen og se sidste uges meddelelser. Brug en godkendt test med frisk synkronisering, og læs de status- eller logbeviser, der følger med den.
Kontroller derefter de fire ting, der faktisk afgør resultatet: det konfigurerede tjenesteslutpunkt, hvad resolveren returnerer, hvilken administreret profil der gælder, og den aktuelle VPN-tilstand. Gør det i den rigtige kontekst, fordi en personlig mailapp med et lignende navn ikke styres af arbejdsappens netværkspolitik og vil opføre sig anderledes af helt legitime grunde. At blande disse to kontekster er, hvordan en fungerende konfiguration bliver rapporteret som brudt. Det forklarer også de fleste tilfælde, hvor en app adlyder en politik, og dens næsten navnebror ignorerer den.
Skriv ned, hvad du har verificeret
Hvis adgang formodes at kræve en tunnel, bør ejeren bekræfte både den tilladte private sti og adfærden uden den. Hvis tjenesten bevidst er offentliggjort, så hold dens TLS-validering, autentificering og adgangskontroller på plads i stedet for at behandle fraværet af en tunnel som bevis på, at mail er ukrypteret.
Supportposten bør nævne mailproduktet, slutpunktet, kontoens omfang og forbindelsespolitikken. Identiske adgangskoder er ikke bevis for nogen af de fire, og det er den mest almindelige grund til, at en sag indeholder fire afsnit og ingen fakta.