E-post töötab ilma VPN-ita: kas see käib salaja tunnelis?
Exchange’i konto ei vali lüüsi, protokolli ega marsruuti. Tehke kindlaks juurutus, avalik sissepääs, hallatav VPN või aktiivne tunnel, enne kui oletate.
E-post jõuab jätkuvalt telefoni, mis pole kordagi VPN-i ikooni näidanud, ja loomulik järeldus on, et midagi nähtamatut tunnelib seda. Tavaliselt pole mängus midagi nähtamatut. Exchange’i konto lisamine ei vali lüüsi, protokolli, sertifikaati ega marsruuti, sest konto on teenuse identiteet ja tunnel on võrgukorraldus, mille seadis üles keegi teine. Kasulik samm on teha kindlaks, milline korraldus teil tegelikult on, selle asemel et otsida tunnelit, mida kunagi polnud.
Kolm korraldust, üks identne ekraan
Kõik kolm lõpevad sellega, et e-post ilmub seadmesse, ja seadete ekraan näeb igal juhul ühesugune välja. Erineb see, kes raja seadis ja milline tõend tõestab, et see olemas on.
| Arrangement | Who set it up | What proves it |
|---|---|---|
| Approved public mail entry | The service owner, at the publishing layer | A published endpoint reached over TLS with its own authentication |
| Managed app or account VPN | Device management, as explicit policy | A profile binding that traffic to a VPN association |
| Already active tunnel | An always-on service or an earlier manual connect | Tunnel state plus routes and scope that include the mail destination |
Avalik kättesaadavus väärib omaette lauset, sest seda loetakse pidevalt valesti. Avaldatud postiteenus ei ole autentimiseta teenus, ja see, et e-post on kättesaadav, ei ütle midagi selle kohta, kas ülejäänud ettevõtte võrk on seda. Need on eraldi otsused, mille teevad eraldi inimesed.
Mida seadmehaldus tegelikult siduda saab
Apple’i platvormid toetavad VPN-i reegleid rakenduse ja postidomeeni kaupa, ja hallatav iOS-i või iPadOS-i e-post võib kanda kontopõhist VPN-i seost. See seos on juurutamise säte väärtusega, mille keegi valis, ja just seetõttu ei saa seda tuletada e-posti aadressi ja parooli telefoni trükkimisest.
Androidi haldusel ja kolmandate osapoolte klientidel on oma rakenduse- ja profiilikontrollid ning ükski neist ei ole Apple’i kontopakettidega vahetatav. Ühel platvormil olemasolev poliitika tuleb teisel teadlikult uuesti luua. See ei reisi koos postikontoga ega saabu seetõttu, et sama inimene logis sisse mõlemasse. Ootus, et see ülekanne juhtub iseenesest, on paljude platvormideüleste «minu telefonil see töötab» aruannete taga.
Identiteet ja transport jäävad eraldi
Postiteenus ja VPN võivad õiguspäraselt jagada kataloogi või identiteedipakkujat, ja inimesed loevad seda ühist sisselogimist ühise sessiooni tõendina. See pole nii. Korduv kasutajanime tekst ei näita, et postirakendus päris VPN-i sessiooni, ja see ei ole põhjus iga teenuse jaoks mitteseotud paroole välja mõelda.
Mõlemad teenused nõuavad oma autentimist omadel tingimustel. Õnnestunud posti sisselogimist ei tohiks kunagi käsitleda millegi sellisena, mida VPN-i kliendile kleepida, ja üles tõusnud tunnel ei ütle midagi selle kohta, millise konto postiserver vastu võtab. Intune’i postiprofiili viide on siin kasulik näide, sest see käsitleb VPN-i seost eraldi sättena, mitte konto nimest tuletatud omadusena.
Värske sünkroonimine võidab vahemällu salvestatud postkasti
Vahemällu salvestatud postkast võib paista täiesti terve ilma ühegi praeguse rajata, seepärast ei tõesta rakenduse avamine ja eelmise nädala sõnumite nägemine midagi. Kasutage heakskiidetud värske sünkroonimise testi ja lugege sellega kaasnevaid oleku- või logitõendeid.
Seejärel kontrollige nelja asja, mis tulemuse tegelikult määravad: konfigureeritud teenuse lõpp-punkt, mida resolver tagastab, milline hallatav profiil kehtib ja praegune VPN-i olek. Tehke seda õiges kontekstis, sest sarnase nimega isiklik postirakendus ei allu töörakenduse võrgupoliitikale ja käitub täiesti õiguspärastel põhjustel teisiti. Nende kahe konteksti segamine on viis, kuidas töötav konfiguratsioon teatatakse katkisena. See selgitab ka enamikku juhtumeid, kus üks rakendus kuulab poliitikat ja selle peaaegu nimekaim eirab seda.
Kirjutage üles, mida kontrollisite
Kui juurdepääs peaks nõudma tunnelit, peaks omanik kinnitama nii lubatud privaatse raja kui ka käitumise ilma selleta. Kui teenus on teadlikult avaldatud, hoidke selle TLS-i valideerimine, autentimine ja juurdepääsukontrollid paigas, selle asemel et pidada tunneli puudumist tõendiks, et e-post on krüpteerimata.
Toetuskirje peaks nimetama postitoote, lõpp-punkti, konto ulatuse ja ühendusepoliitika. See, et paroolid on samad, ei ole tõend ühegi nimetatud nelja kohta, ja see on kõige tavalisem põhjus, miks pilet sisaldab neli lõiku ja mitte ühtegi fakti.