¿VPN conectada pero IMAP no sincroniza? Revise estas tres capas

Conéctese a la VPN de la oficina, abra el cliente de correo y observe cómo la bandeja de entrada se niega a actualizarse mientras el webmail carga con normalidad. El diagnóstico habitual es que la VPN deja pasar el tráfico pero bloquea el correo, o que la contraseña de la cuenta cambió. Ambas conjeturas omiten la estructura de lo que hace un cliente IMAP. Llegar al host, completar TLS, autenticarse y seleccionar un buzón son cuatro eventos distintos, y la VPN solo posee el primero.

El mito: una conexión significa un inicio de sesión

La creencia es que, una vez levantado el túnel y cuando el servidor de correo responde, el buzón está efectivamente abierto. No lo está. La VPN proporciona una ruta hasta el servicio; no inicia sesión por usted y no selecciona una carpeta. Un cliente puede quedarse en el cuarto de esos pasos con un túnel perfectamente funcional y una contraseña válida.

En ese hueco viven en realidad la mayoría de los informes de «IMAP no funciona con VPN».

Tres estados de IMAP y dónde se atascan los clientes

IMAP define un estado no autenticado, un estado autenticado y un estado seleccionado, y los comandos solo son válidos en el estado que los permite. Una conexión también puede comenzar ya autenticada cuando el servidor ofrece autenticación previa, así que la ausencia de una solicitud de contraseña no demuestra nada. Seleccionar un buzón mueve la sesión de autenticada a seleccionada, y solo entonces los comandos que actúan sobre mensajes tienen un objetivo.

Un cliente que se autentica correctamente y luego no logra seleccionar la carpeta configurada parecerá un fallo de sincronización mientras el servidor se comporta bien. Carpetas renombradas, un proveedor que asigna «bandeja de entrada» de otra manera o permisos de acceso ausentes acaban todos aquí. La respuesta NO etiquetada del servidor es la evidencia, y no es la misma respuesta que una contraseña rechazada.

TLS llega antes de la conversación IMAP

Con TLS implícito en el puerto 993, el apretón de manos TLS se completa antes de que se envíe cualquier comando IMAP, por lo que un problema de certificado produce un error que menciona la confianza y no el correo. El nombre de host de correo debe validarse contra el certificado igual que un nombre de host web; un túnel que conserva el tráfico no hace válido un certificado no válido.

El texto del error separa los casos. Un tiempo de espera de conexión significa que el SYN nunca se completó. Un error de TLS significa que la conexión TCP funcionó y el apretón de manos no. Una respuesta IMAP NO o BAD significa que ambos tuvieron éxito y que la capa de protocolo rechazó algo. Anote cuál vio antes de cambiar cualquier ajuste.

El correo en caché no prueba nada

Un cliente de correo muestra los mensajes descargados previamente tanto si hoy puede llegar al servidor como si no, así que una bandeja de entrada que se muestra solo le dice que el almacenamiento local funciona. Cualquier prueba real debe forzar una operación en el servidor: actualice una carpeta, descargue un mensaje que nunca se descargó o envíe un comando que el cliente solo emitiría tras seleccionar el buzón.

Use una comprobación no destructiva. Actualizar una carpeta y leer el registro de errores de la cuenta es mejor que eliminar y volver a añadir la cuenta, lo que sobre todo demuestra que la pantalla de configuración sigue funcionando.

Enviar y webmail son protocolos distintos

Enviar correo es envío, no IMAP. Usa un servicio separado y normalmente un puerto separado con su propio modo TLS y su propia autenticación, así que una bandeja de salida que funciona no demuestra que se haya seleccionado el buzón IMAP, y una bandeja de salida rota no incrimina a IMAP.

El webmail vuelve a ser distinto. Puede funcionar sobre la misma VPN porque es una sesión HTTPS contra un front-end web, lo que no dice nada sobre el host IMAP, el puerto o el modo TLS del cliente de escritorio.

Para un traspaso, anote cuatro resultados por separado: la ruta de la VPN, el resultado del extremo de correo y TLS, el resultado de la autenticación de la cuenta y el resultado de la selección del buzón. Mantenga las credenciales y el contenido de los mensajes fuera de la nota. Ese registro dice a la siguiente persona si la corrección pertenece a la red, al certificado, a la cuenta o a la configuración de carpetas, sin debilitar ninguna de las dos capas de protección.