Το ταχυδρομείο λειτουργεί χωρίς VPN: διοχετεύεται κρυφά μέσα σε τούνελ;
Ένας λογαριασμός Exchange δεν επιλέγει πύλη, πρωτόκολλο ή διαδρομή. Προσδιορίστε την ανάπτυξη, τη δημόσια είσοδο, το διαχειριζόμενο VPN ή το ενεργό τούνελ πριν υποθέσετε.
Το ταχυδρομείο συνεχίζει να φτάνει σε ένα τηλέφωνο που δεν έδειξε ποτέ εικονίδιο VPN, και το φυσικό συμπέρασμα είναι ότι κάτι αόρατο το διοχετεύει μέσα σε τούνελ. Συνήθως δεν εμπλέκεται τίποτα αόρατο. Η προσθήκη λογαριασμού Exchange δεν επιλέγει πύλη, πρωτόκολλο, πιστοποιητικό ή διαδρομή, γιατί ο λογαριασμός είναι ταυτότητα υπηρεσίας και το τούνελ είναι διάταξη δικτύου που διαμόρφωσε κάποιος άλλος. Η χρήσιμη κίνηση είναι να προσδιορίσετε ποια διάταξη έχετε πραγματικά αντί να ψάχνετε τούνελ που δεν υπήρξε ποτέ.
Τρεις διατάξεις, μία ίδια οθόνη
Και οι τρεις καταλήγουν με το ταχυδρομείο να εμφανίζεται στη συσκευή, και η οθόνη ρυθμίσεων φαίνεται ίδια σε κάθε περίπτωση. Αυτό που διαφέρει είναι ποιος διαμόρφωσε τη διαδρομή και ποια απόδειξη αποδεικνύει ότι υπάρχει.
| Arrangement | Who set it up | What proves it |
|---|---|---|
| Approved public mail entry | The service owner, at the publishing layer | A published endpoint reached over TLS with its own authentication |
| Managed app or account VPN | Device management, as explicit policy | A profile binding that traffic to a VPN association |
| Already active tunnel | An always-on service or an earlier manual connect | Tunnel state plus routes and scope that include the mail destination |
Η δημόσια προσβασιμότητα αξίζει δική της πρόταση, γιατί διαβάζεται λάθος συνεχώς. Μια δημοσιευμένη υπηρεσία ταχυδρομείου δεν είναι υπηρεσία χωρίς έλεγχο ταυτότητας, και το γεγονός ότι το ταχυδρομείο είναι προσβάσιμο δεν λέει τίποτα για το αν είναι το υπόλοιπο εταιρικό δίκτυο. Πρόκειται για ξεχωριστές αποφάσεις που παίρνουν ξεχωριστοί άνθρωποι.
Τι μπορεί πραγματικά να δεσμεύσει η διαχείριση συσκευών
Οι πλατφόρμες της Apple υποστηρίζουν κανόνες VPN ανά εφαρμογή και ανά τομέα ταχυδρομείου, και το διαχειριζόμενο ταχυδρομείο σε iOS ή iPadOS μπορεί να φέρει σύνδεση VPN ειδική για τον λογαριασμό. Αυτή η σύνδεση είναι ρύθμιση παροχής με τιμή που διάλεξε κάποιος, και γι’ αυτό ακριβώς δεν μπορεί να συναχθεί πληκτρολογώντας μια διεύθυνση ηλεκτρονικού ταχυδρομείου και έναν κωδικό σε ένα τηλέφωνο.
Η διαχείριση Android και οι πελάτες τρίτων έχουν δικούς τους ελέγχους εφαρμογών και προφίλ, και κανένας τους δεν είναι ανταλλάξιμος με τα πακέτα λογαριασμού της Apple. Μια πολιτική που υπάρχει σε μια πλατφόρμα πρέπει να αναπαραχθεί σκόπιμα σε άλλη. Δεν ταξιδεύει με τον λογαριασμό ταχυδρομείου και δεν φτάνει επειδή το ίδιο άτομο συνδέθηκε και στα δύο. Η προσδοκία ότι αυτή η μεταφορά θα γίνει μόνη της βρίσκεται πίσω από μεγάλο μέρος των διαπλατφορμικών αναφορών «δουλεύει στο τηλέφωνό μου».
Η ταυτότητα και η μεταφορά μένουν χωριστά
Μια υπηρεσία ταχυδρομείου και ένα VPN μπορούν νόμιμα να μοιράζονται κατάλογο ή πάροχο ταυτότητας, και οι άνθρωποι διαβάζουν αυτή την κοινή σύνδεση ως απόδειξη κοινής συνεδρίας. Δεν είναι. Το επαναλαμβανόμενο κείμενο ονόματος χρήστη δεν δείχνει ότι η εφαρμογή ταχυδρομείου κληρονόμησε συνεδρία VPN, και δεν είναι λόγος να επινοηθούν άσχετοι κωδικοί για κάθε υπηρεσία.
Και οι δύο υπηρεσίες απαιτούν δικό τους έλεγχο ταυτότητας, με δικούς τους όρους. Μια επιτυχής σύνδεση στο ταχυδρομείο δεν πρέπει ποτέ να αντιμετωπίζεται ως κάτι που επικολλάται σε πελάτη VPN, και ένα τούνελ που σηκώθηκε δεν λέει τίποτα για το ποιον λογαριασμό θα δεχτεί ο διακομιστής ταχυδρομείου. Η αναφορά προφίλ ταχυδρομείου του Intune είναι χρήσιμο παράδειγμα εδώ, γιατί αντιμετωπίζει τη σύνδεση VPN ως ξεχωριστή ρύθμιση και όχι ως ιδιότητα που παράγεται από το όνομα του λογαριασμού.
Ο φρέσκος συγχρονισμός κερδίζει το προσωρινά αποθηκευμένο γραμματοκιβώτιο
Ένα προσωρινά αποθηκευμένο γραμματοκιβώτιο μπορεί να φαίνεται απόλυτα υγιές χωρίς καμία τρέχουσα διαδρομή, γι’ αυτό το άνοιγμα της εφαρμογής και η θέαση μηνυμάτων της περασμένης εβδομάδας δεν αποδεικνύουν τίποτα. Χρησιμοποιήστε μια εγκεκριμένη δοκιμή φρέσκου συγχρονισμού και διαβάστε τα στοιχεία κατάστασης ή αρχείου καταγραφής που τη συνοδεύουν.
Στη συνέχεια ελέγξτε τα τέσσερα πράγματα που καθορίζουν πραγματικά το αποτέλεσμα: το διαμορφωμένο τελικό σημείο υπηρεσίας, τι επιστρέφει ο επιλυτής, ποιο διαχειριζόμενο προφίλ ισχύει και την τρέχουσα κατάσταση VPN. Κάντε το στο σωστό πλαίσιο, γιατί μια προσωπική εφαρμογή ταχυδρομείου με παρόμοιο όνομα δεν διέπεται από την πολιτική δικτύου της εφαρμογής εργασίας και θα συμπεριφερθεί διαφορετικά για απολύτως νόμιμους λόγους. Η ανάμειξη αυτών των δύο πλαισίων είναι ο τρόπος με τον οποίο μια λειτουργική διαμόρφωση αναφέρεται ως χαλασμένη. Εξηγεί επίσης τις περισσότερες περιπτώσεις όπου μια εφαρμογή υπακούει σε μια πολιτική και ο σχεδόν συνώνυμος γείτονάς της την αγνοεί.
Γράψτε τι επαληθεύσατε
Αν η πρόσβαση υποτίθεται ότι απαιτεί τούνελ, ο ιδιοκτήτης θα πρέπει να επιβεβαιώσει τόσο την επιτρεπόμενη ιδιωτική διαδρομή όσο και τη συμπεριφορά χωρίς αυτό. Αν η υπηρεσία δημοσιεύεται σκόπιμα, κρατήστε την επικύρωση TLS, τον έλεγχο ταυτότητας και τους ελέγχους πρόσβασης στη θέση τους αντί να θεωρείτε την απουσία τούνελ απόδειξη ότι το ταχυδρομείο δεν είναι κρυπτογραφημένο.
Το αρχείο υποστήριξης πρέπει να αναφέρει το προϊόν ταχυδρομείου, το τελικό σημείο, το εύρος του λογαριασμού και την πολιτική σύνδεσης. Το ότι οι κωδικοί είναι ίδιοι δεν αποτελεί απόδειξη για κανένα από αυτά τα τέσσερα, και είναι ο συνηθέστερος λόγος που ένα δελτίο περιέχει τέσσερις παραγράφους και κανένα γεγονός.