VPN verbunden, aber IMAP synchronisiert nicht? Prüfen Sie diese drei Ebenen

Verbinden Sie sich mit dem Büro-VPN, öffnen Sie den Mailclient und beobachten Sie, wie der Posteingang die Aktualisierung verweigert, während Webmail normal lädt. Die übliche Diagnose lautet, dass das VPN Verkehr durchlässt, aber Mail blockiert, oder dass das Kontopasswort geändert wurde. Beide Vermutungen überspringen die Struktur dessen, was ein IMAP-Client tut. Den Host erreichen, TLS abschließen, sich authentifizieren und ein Postfach auswählen sind vier verschiedene Ereignisse, und das VPN besitzt nur das erste.

Der Mythos: eine Verbindung bedeutet eine Anmeldung

Die Annahme ist, dass das Postfach praktisch offen ist, sobald der Tunnel steht und der Mailserver antwortet. Das ist es nicht. Das VPN liefert einen Pfad zum Dienst; es meldet Sie nicht an und wählt keinen Ordner aus. Ein Client kann beim vierten dieser Schritte stehen, mit einem einwandfrei funktionierenden Tunnel und einem gültigen Passwort.

Genau in dieser Lücke leben die meisten Berichte „IMAP funktioniert nicht über VPN“.

Drei IMAP-Zustände und wo Clients hängen bleiben

IMAP definiert einen nicht authentifizierten Zustand, einen authentifizierten Zustand und einen ausgewählten Zustand, und Befehle sind nur in dem Zustand gültig, der sie zulässt. Eine Verbindung kann auch bereits authentifiziert beginnen, wenn der Server Vorauthentifizierung anbietet, sodass das Fehlen einer Passwortabfrage nichts beweist. Die Auswahl eines Postfachs verschiebt die Sitzung von authentifiziert zu ausgewählt, und erst dann haben Befehle, die auf Nachrichten wirken, ein Ziel.

Ein Client, der sich erfolgreich authentifiziert und dann den konfigurierten Ordner nicht auswählen kann, sieht wie ein Synchronisierungsfehler aus, während sich der Server korrekt verhält. Umbenannte Ordner, ein Anbieter, der „Posteingang“ anders abbildet, oder fehlende Zugriffsrechte landen alle hier. Die mit einem Tag versehene NO-Antwort des Servers ist der Beweis, und sie ist nicht dieselbe Antwort wie ein abgelehntes Passwort.

TLS kommt vor dem IMAP-Gespräch

Bei implizitem TLS auf Port 993 ist der TLS-Handshake abgeschlossen, bevor ein IMAP-Befehl gesendet wird, weshalb ein Zertifikatsproblem einen Fehler erzeugt, der Vertrauen statt Mail nennt. Der Mail-Hostname muss gegen das Zertifikat validieren genauso wie ein Web-Hostname; ein Tunnel, der Verkehr bewahrt, macht ein ungültiges Zertifikat nicht gültig.

Der Fehlertext trennt die Fälle. Eine Verbindungszeitüberschreitung bedeutet, dass das SYN nie abgeschlossen wurde. Ein TLS-Fehler bedeutet, dass die TCP-Verbindung funktionierte und der Handshake nicht. Eine IMAP-NO- oder BAD-Antwort bedeutet, dass beides gelang und die Protokollebene etwas abgelehnt hat. Notieren Sie, welche Sie gesehen haben, bevor Sie eine Einstellung ändern.

Zwischengespeicherte Mail ist kein Beweis für irgendetwas

Ein Mailclient zeigt zuvor heruntergeladene Nachrichten unabhängig davon, ob er den Server heute erreicht, also sagt Ihnen ein angezeigter Posteingang nur, dass der lokale Speicher funktioniert. Jeder echte Test muss eine Serveroperation erzwingen: einen Ordner aktualisieren, eine Nachricht abrufen, die nie heruntergeladen wurde, oder einen Befehl senden, den der Client erst nach der Postfachauswahl ausgeben würde.

Verwenden Sie eine zerstörungsfreie Prüfung. Einen Ordner zu aktualisieren und das Fehlerprotokoll des Kontos zu lesen ist besser als das Konto zu löschen und erneut hinzuzufügen, was vor allem beweist, dass der Konfigurationsbildschirm noch funktioniert.

Senden und Webmail sind verschiedene Protokolle

Mail zu senden ist Übermittlung, nicht IMAP. Es nutzt einen separaten Dienst und meist einen separaten Port mit eigenem TLS-Modus und eigener Authentifizierung, sodass ein funktionierender Postausgang nicht beweist, dass das IMAP-Postfach ausgewählt wurde, und ein defekter Postausgang nicht IMAP belastet.

Webmail ist wieder etwas anderes. Es kann über dasselbe VPN gelingen, weil es eine HTTPS-Sitzung gegen ein Web-Frontend ist, was nichts über IMAP-Host, Port oder TLS-Modus des Desktop-Clients aussagt.

Für eine Übergabe notieren Sie vier Ergebnisse getrennt: den VPN-Pfad, das Ergebnis von Mail-Endpunkt und TLS, das Ergebnis der Kontoauthentifizierung und das Ergebnis der Postfachauswahl. Halten Sie Zugangsdaten und Nachrichteninhalte aus der Notiz heraus. Diese Aufzeichnung sagt der nächsten Person, ob die Korrektur zum Netzwerk, zum Zertifikat, zum Konto oder zur Ordnerkonfiguration gehört, ohne eine der beiden Schutzebenen zu schwächen.