Το ταχυδρομείο φτάνει στον διακομιστή χωρίς VPN: πού να επιβληθεί ο κανόνας

Το Mail συνεχίζει να ρωτά και το VPN είναι κάτω, ωστόσο ο λογαριασμός συγχρονίζεται ακόμη. Η εφαρμογή κάνει αυτό για το οποίο ρυθμίστηκε· τίποτα σε ένα κανονικό προφίλ αλληλογραφίας δεν λέει ότι ο διακομιστής είναι προσβάσιμος μόνο μέσω της σήραγγας. Αυτό αφήνει δύο διαφορετικές απαιτήσεις, και είναι εύκολο να τις μπερδέψει κανείς: η υπηρεσία πρέπει να απορρίπτει τους άμεσους πελάτες, ή το Mac δεν πρέπει ποτέ να κάνει την προσπάθεια.

Επιλέξτε την απαίτηση πριν επιλέξετε προϊόν. Ένας κανόνας διακομιστή και ένας κανόνας πελάτη αποτυγχάνουν σε διαφορετικά σημεία, παράγουν διαφορετικά στοιχεία και ανήκουν σε διαφορετικούς ιδιοκτήτες. Η εφαρμογή και των δύο είναι έγκυρη όταν ισχύουν και οι δύο δηλώσεις, αλλά το ένα δεν υποκαθιστά το άλλο. Και οι δύο απαιτήσεις είναι νόμιμες· απλώς δεν είναι ο ίδιος έλεγχος.

Το σύμπτωμα μοιάζει με το Mac, αλλά ο διακομιστής μπορεί να είναι η διαρροή

Όταν η αλληλογραφία συγχρονίζεται έξω από τη σήραγγα, ξεκινήστε από το τι δέχεται ο διακομιστής. Αν ο ακροατής αλληλογραφίας απαντά σε άμεση σύνδεση από το διαδίκτυο, καμία ρύθμιση ευκολίας στην πλευρά του πελάτη δεν αλλάζει αυτό το γεγονός. Το Mac συμπεριφέρεται κανονικά απέναντι σε μια υπηρεσία που είναι ακόμη ανοιχτή.

Ρωτήστε τον διαχειριστή αλληλογραφίας ποια διεύθυνση προέλευσης βλέπει η υπηρεσία. Μια πύλη VPN, ένας αντίστροφος διαμεσολαβητής ή ένας εξισορροπητής φορτίου μπορούν να μεταφράσουν τη διεύθυνση του πελάτη, οπότε η δεξαμενή διευθύνσεων στη ρύθμιση VPN μπορεί να μην ταιριάζει με αυτό που φτάνει στη διεργασία αλληλογραφίας. Ένας κανόνας γραμμένος απέναντι στη λάθος προέλευση είτε μπλοκάρει όλους είτε δεν μπλοκάρει κανέναν.

Αυτή η απάντηση λέει επίσης αν η υπηρεσία μπορεί να ξεχωρίσει καθόλου τους πελάτες VPN. Αν κάθε πελάτης φτάνει μέσω της ίδιας διεύθυνσης διαμεσολαβητή, η εισδοχή με βάση την προέλευση δεν μπορεί να τους χωρίσει, και η απαίτηση πρέπει να μετακινηθεί στον έλεγχο ταυτότητας ή στην πλευρά του πελάτη.

Εισδοχή στον διακομιστή: απορρίψτε την προέλευση, όχι την εφαρμογή

Ένα τείχος προστασίας υπολογιστή ή δικτύου μπορεί να περιορίσει τον ακροατή αλληλογραφίας σε εγκεκριμένες περιοχές προέλευσης αφήνοντας τον έλεγχο ταυτότητας και το TLS αμετάβλητα. Μια συνθήκη κανόνα που ταιριάζει απομακρυσμένες διευθύνσεις, υποδίκτυα ή περιοχές είναι το συνηθισμένο δομικό στοιχείο· η ακριβής σύνταξη ανήκει στο προϊόν τείχους προστασίας του διακομιστή, όχι στην εφαρμογή αλληλογραφίας.

Αυτό είναι το ισχυρότερο όριο όταν η απαίτηση είναι «η υπηρεσία δεν πρέπει να εξυπηρετεί άμεσους πελάτες». Αντέχει ακόμη και αν ο χρήστης εγκαταστήσει άλλο πρόγραμμα αλληλογραφίας, γιατί η απόρριψη γίνεται πριν από τον έλεγχο ταυτότητας. Επιβιώνει επίσης από ένα Mac που αγνοεί την πολιτική VPN του.

Το όριό του είναι εξίσου σημαντικό. Μια απορριφθείσα σύνδεση αποδεικνύει ότι η υπηρεσία απέρριψε τη συνεδρία· δεν αποδεικνύει ότι το Mac δεν έκανε προσπάθεια. Η επίλυση DNS, ένα TCP SYN προς προγενέστερο εξισορροπητή φορτίου και μια επανάληψη μετά την αποτυχία μπορούν όλα να συμβούν πριν φτάσει κανείς στον κανόνα του διακομιστή. Αν η απαίτηση αφορά την αποκάλυψη των προσπαθειών και όχι την πρόσβαση, η εισδοχή στον διακομιστή είναι μόνο το μισό του ελέγχου.

Επιβολή στον πελάτη: μπλοκάρετε την προσπάθεια, όχι μόνο τη σήραγγα

Ένας κανόνας στην πλευρά του πελάτη πρέπει να απαγορεύει την κίνηση, όχι απλώς να ξεκινά μια σήραγγα όταν ανοίγει η αλληλογραφία. Ένας εκκινητής ενεργοποίησης για έναν τομέα αλληλογραφίας μπορεί να σηκώσει το VPN την κατάλληλη στιγμή, αλλά δεν ορίζει τι συμβαίνει όσο η σήραγγα είναι κάτω ή αφού αποτύχει.

Χρησιμοποιήστε την υποστηριζόμενη πολιτική αποκλεισμού του προϊόντος τελικού σημείου και ορίστε το πεδίο της συνειδητά. Ένας κανόνας σε επίπεδο εφαρμογής καλύπτει κάθε λογαριασμό σε εκείνη την εφαρμογή αλληλογραφίας, συμπεριλαμβανομένων των προσωπικών. Ένας κανόνας σε επίπεδο προορισμού πρέπει να ονομάζει τα τελικά σημεία IMAP, αποστολής και ελέγχου ταυτότητας του λογαριασμού εργασίας, και πρέπει να συνεχίζει να λειτουργεί όταν αλλάζουν αυτές οι διευθύνσεις.

Καλύψτε και τις δύο οικογένειες διευθύνσεων και τις υπάρχουσες συνεδρίες. Μια πολιτική που μπλοκάρει νέες συνδέσεις IPv4 αφήνοντας ήσυχο το IPv6 ή μια εδραιωμένη υποδοχή παράγει διακοπτόμενους συγχρονισμούς που φαίνονται τυχαίοι. Οι αλλαγές δικτύου και οι κύκλοι ύπνου είναι μέρος της ίδιας δοκιμής.

Οι κανόνες σε επίπεδο εφαρμογής και προορισμού έχουν διαφορετική εμβέλεια

Ένας αποκλεισμός σε επίπεδο εφαρμογής είναι απλός στη σκέψη: καμία κίνηση από το Mail δεν φεύγει χωρίς τη σήραγγα. Είναι όμως και αδρομερής, γιατί η ίδια εφαρμογή μπορεί να περιέχει προσωπικό λογαριασμό που δεν έχει καμία σχέση με την πολιτική. Οι χρήστες το προσέχουν πρώτοι και το αναφέρουν ως χαλασμένη εφαρμογή αλληλογραφίας.

Ένας αποκλεισμός σε επίπεδο προορισμού είναι στενότερος και δυσκολότερος στη συντήρηση. Χρειάζεται το πλήρες σύνολο τελικών σημείων που χρησιμοποιεί ο λογαριασμός, μαζί με υπηρεσίες ανακάλυψης και ελέγχου ταυτότητας, και μια διαδικασία για την ενημέρωσή τους. Χάσετε ένα και ο λογαριασμός δουλεύει μισά· συμπεριλάβετε πάρα πολλά και σταματά άσχετη αλληλογραφία.

Επιλέξτε με βάση τη διατύπωση της απαίτησης. Το «αυτός ο λογαριασμός εργασίας δεν πρέπει να συνδέεται απευθείας» δείχνει πεδίο προορισμού. Το «αυτό το Mac δεν πρέπει να τρέχει αλληλογραφία έξω από το VPN» δικαιολογεί τον ευρύτερο κανόνα εφαρμογής, εφόσον ο ιδιοκτήτης αποδέχεται την παρενέργεια για τον προσωπικό λογαριασμό.

Δοκιμάστε την απόρριψη και την απουσία χωριστά

Με έναν αποκλειστικό δοκιμαστικό λογαριασμό, συνδεθείτε μέσω του VPN και επιβεβαιώστε την κανονική λειτουργία. Έπειτα αποσυνδεθείτε και δοκιμάστε δύο φορές: μία για να δείτε αν ο διακομιστής απορρίπτει τη σύνδεση, και μία για να δείτε αν το Mac επιχειρεί καθόλου σύνδεση. Αυτές είναι διαφορετικές παρατηρήσεις και ανήκουν σε διαφορετικά αρχεία καταγραφής.

Προσέξτε τα στοιχεία στην πλευρά του πελάτη για ένα SYN ή ένα ερώτημα DNS όσο είστε αποσυνδεδεμένοι, και το αρχείο του διακομιστή για μια απορριφθείσα ή αποδεκτή συνεδρία. Αν ο διακομιστής απορρίπτει αλλά ο πελάτης εξακολουθεί να προσπαθεί, ο κανόνας του διακομιστή λειτουργεί και ο κανόνας του πελάτη λείπει. Αν ο πελάτης δεν κάνει καμία προσπάθεια αλλά ο διακομιστής εξακολουθεί να δέχεται άλλους πελάτες, το όριο είναι ακριβώς εκεί που το τοποθετήσατε.

Καταγράψτε τον ιδιοκτήτη της επιβολής, τη διεύθυνση προέλευσης που βλέπει πραγματικά ο διακομιστής και τον δοκιμαστικό λογαριασμό που χρησιμοποιήθηκε. Η επόμενη αλλαγή δικτύου ή διαμεσολαβητή μπορεί να μετακινήσει αυτή την προέλευση, και μια σημείωση που ονομάζει την παρατηρούμενη τιμή ελέγχεται γρηγορότερα από άλλον έναν γύρο εικασιών.