Posti saavuttaa palvelimen ilman VPN:ää: missä sääntöä on valvottava

Posti jatkaa kyselyjä ja VPN on alas, mutta tili synkronoituu silti. Sovellus tekee sen, mihin se on määritetty; mikään tavallisessa postiprofiilissa ei kerro, että palvelin on tavoitettavissa vain tunnelin kautta. Tästä jää kaksi eri vaatimusta, ja ne on helppo sekoittaa: palvelun pitäisi hylätä suorat asiakkaat tai Macin ei pitäisi yrittää lainkaan.

Valitse vaatimus ennen tuotteen valintaa. Palvelinsääntö ja asiakassääntö epäonnistuvat eri paikoissa, tuottavat eri todisteita ja kuuluvat eri omistajille. Molempien soveltaminen on pätevää, kun molemmat väitteet pitävät, mutta toinen ei korvaa toista. Molemmat vaatimukset ovat oikeutettuja; ne eivät vain ole sama valvonta.

Oire näyttää Macilta, mutta vuoto voi olla palvelimessa

Kun posti synkronoituu tunnelin ulkopuolella, aloita siitä, mitä palvelin hyväksyy. Jos postin kuuntelija vastaa internetistä tulevaan suoraan yhteyteen, mikään asiakaspuolen mukavuusasetus ei muuta tätä tosiasiaa. Mac käyttäytyy normaalisti palvelua kohtaan, joka on yhä auki.

Kysy postin ylläpitäjältä, mitä lähdeosoitetta palvelu näkee. VPN-yhdyskäytävä, käänteinen välityspalvelin tai kuormantasain voi kääntää asiakkaan osoitteen, joten VPN-määrityksen osoitevaranto ei välttämättä vastaa sitä, mikä saapuu postiprosessiin. Väärää lähdettä vasten kirjoitettu sääntö joko estää kaikki tai ei estä ketään.

Tämä vastaus kertoo myös, pystyykö palvelu ylipäätään erottamaan VPN-asiakkaat. Jos jokainen asiakas saapuu saman välityspalvelinosoitteen kautta, lähdeperusteinen hyväksyntä ei voi erottaa niitä, ja vaatimus on siirrettävä todennukseen tai asiakaspuolelle.

Palvelimen hyväksyntä: hylkää lähde, ei sovellus

Isäntä- tai verkkopalomuuri voi rajoittaa postin kuuntelijan hyväksyttyihin lähdealueisiin ja jättää todentamisen ja TLS:n ennalleen. Sääntöehto, joka vastaa etäosoitteita, aliverkkoja tai alueita, on tavallinen rakennuspalikka; tarkka syntaksi kuuluu palvelimen palomuurituotteeseen, ei postisovellukseen.

Tämä on vahvin raja, kun vaatimus on ”palvelu ei saa palvella suoria asiakkaita”. Se pitää, vaikka käyttäjä asentaisi toisen postiohjelman, koska hylkäys tapahtuu ennen todentamista. Se kestää myös Macin, joka jättää VPN-käytäntönsä huomiotta.

Sen raja on yhtä tärkeä. Hylätty yhteys todistaa, että palvelu hylkäsi istunnon; se ei todista, ettei Mac yrittänyt. DNS-selvitys, TCP SYN aiemmalle kuormantasaimelle ja uusintayritys epäonnistumisen jälkeen voivat kaikki tapahtua ennen kuin palvelimen sääntöön päästään. Jos vaatimus koskee yritysten paljastamista eikä pääsyä, palvelimen hyväksyntä on vain puolet valvonnasta.

Valvonta asiakkaassa: estä yritys, ei vain tunnelia

Asiakaspuolen säännön on kiellettävä liikenne, ei vain käynnistettävä tunnelia, kun posti avataan. Postiverkkotunnuksen aktivointilaukaisin voi nostaa VPN:n oikeaan hetkeen, mutta se ei määritä, mitä tapahtuu, kun tunneli on alas tai kun se epäonnistuu.

Käytä päätepistetuotteen tuettua estokäytäntöä ja rajaa sen laajuus tarkoituksella. Sovellustason sääntö kattaa jokaisen tilin kyseisessä postisovelluksessa, myös henkilökohtaiset. Kohdetason säännön on nimettävä työtilin IMAP-, lähetys- ja todennuspalvelimen päätepisteet, ja sen on toimittava edelleen, kun nämä osoitteet muuttuvat.

Kata molemmat osoiteperheet ja olemassa olevat istunnot. Käytäntö, joka estää uudet IPv4-yhteydet mutta jättää IPv6:n tai muodostetun pistokkeen rauhaan, tuottaa ajoittaisia synkronointeja, jotka näyttävät satunnaisilta. Verkon muutokset ja unijaksot ovat osa samaa testiä.

Sovellus- ja kohdetason säännöillä on erilainen vaikutusalue

Sovellustason esto on helppo ymmärtää: mikään liikenne ei lähde Postista ilman tunnelia. Se on myös karkea, koska samassa sovelluksessa voi olla henkilökohtainen tili, jolla ei ole mitään tekemistä käytännön kanssa. Käyttäjät huomaavat sen ensimmäisenä ja raportoivat sen rikkinäisenä postisovelluksena.

Kohdetason esto on kapeampi ja vaikeampi ylläpitää. Se tarvitsee täyden joukon päätepisteitä, joita tili käyttää, mukaan lukien löytö- ja todennuspalvelut, ja prosessin niiden päivittämiseksi. Yksi jää pois ja tili toimii puoliksi; liikaa mukaan ja asiaankuulumaton posti pysähtyy.

Valitse vaatimuksen sanamuodon mukaan. ”Tämä työtili ei saa yhdistää suoraan” osoittaa kohdelaajuuteen. ”Tämä Mac ei saa ajaa postia VPN:n ulkopuolella” perustelee laajemman sovellussäännön, jos omistaja hyväksyy henkilökohtaisen tilin sivuvaikutuksen.

Testaa hylkäys ja puuttuminen erikseen

Yhdistä erillisellä testitilillä VPN:n kautta ja vahvista normaali toiminta. Katkaise sitten ja testaa kahdesti: kerran nähdäksesi, hylkääkö palvelin kirjautumisen, ja kerran nähdäksesi, yrittääkö Mac ylipäätään yhteyttä. Nämä ovat eri havaintoja ja ne kuuluvat eri lokeihin.

Seuraa asiakaspuolen todisteita SYN:stä tai DNS-kyselystä, kun olet katkaissut, ja palvelimen lokia hylätystä tai hyväksytystä istunnosta. Jos palvelin hylkää mutta asiakas yrittää yhä, palvelinsääntö toimii ja asiakassääntö puuttuu. Jos asiakas ei yritä mutta palvelin hyväksyy yhä muita asiakkaita, raja on täsmälleen siinä, mihin sen asetit.

Kirjaa valvonnan omistaja, lähdeosoite, jonka palvelin todella näkee, ja käytetty testitili. Seuraava verkko- tai välityspalvelinmuutos voi siirtää lähteen, ja havaitun arvon nimeävä muistiinpano on nopeampi tarkistaa kuin uusi arvauskierros.