Post berikt de tsjinner sûnder VPN: wêr’t de regel jilde moat

Post bliuwt pollend en de VPN is del, mar it akkount syngronisearret noch. De app docht wat er foar konfigurearre is; neat yn in normaal postprofyl seit dat de tsjinner allinnich fia de tunnel berikber is. Dat lit twa ferskillende easken oer, en se binne maklik te ferwikseljen: de tsjinst moat direkte kliïnten wegere, of de Mac moat nea de besiking dwaan.

Kies de eask foardat je in produkt kieze. In tsjinnerregel en in kliïntregel mislearje op ferskillende plakken, leverje ferskillend bewiis en hearre by ferskillende eigners. It tapassen fan beide is jildich as beide bewearings wier binne, mar it iene ferfangt it oare net. Beide easken binne legitiem; se binne gewoan net deselde kontrôle.

It symptoom liket de Mac, mar de tsjinner kin de lek wêze

As post bûten de tunnel syngronisearret, begjin dan mei wat de tsjinner akseptearret. As de postlústerder in direkte ferbining fan it ynternet beäntwurdet, feroaret gjin klantside-gemaksynstelling dat feit. De Mac hâldt him normaal foar in tsjinst oer dy’t noch iepen is.

Freegje de postbehearder hokker boarneadres de tsjinst sjocht. In VPN-gateway, omkearde proxy of loadbalancer kin it kliïntadres oersette, dus it adrespul yn de VPN-konfiguraasje kin oars wêze as wat by it postproses oankomt. In regel skreaun tsjin de ferkearde boarne blokkearret elkenien of nimmen.

Dat antwurd fertelt ek oft de tsjinst VPN-kliïnten hielendal ûnderskiede kin. As elke kliïnt fia itselde proxyadres oankomt, kin boarneasearre talitting se net skiede, en de eask moat nei autentikaasje of nei de kliïntside ferpleatst wurde.

Talitting op de tsjinner: wegerje de boarne, net de app

In host- of netwurkfirewall kin de postlústerder beheine ta goedkarde boarnerigen wylst autentikaasje en TLS ûnferoare bliuwe. In regelbetingst dy’t fiere adressen, subnetten of rijen oerienkomt is de gewoane boublok; de krekte syntaks heart by it firewallprodukt fan de tsjinner, net by de postapp.

Dat is de sterkste grins as de eask is „de tsjinst mei gjin direkte kliïnten betsjinje“. It hâldt sels as de brûker in oare postkliïnt ynstallearret, om’t de wegering foar autentikaasje bart. It oerlibbet ek in Mac dy’t syn VPN-belied negearret.

De beheining is like wichtich. In wegere ferbining bewiist dat de tsjinst de sesje wegere hat; it bewiist net dat de Mac gjin besiking dien hat. DNS-oplossing, in TCP SYN nei in eardere loadbalancer en in nije besiking nei in mislearring kinne allegear barre foardat de regel fan de tsjinner berikt wurdt. As de eask oer it iepenbierjen fan besikings giet en net oer tagong, is talitting op de tsjinner mar de helte fan de kontrôle.

Hanterring op de kliïnt: blokkearje de besiking, net allinnich de tunnel

In regel oan de kliïntside moat it ferkear ferbiede, net allinnich in tunnel starte as post iepene wurdt. In aktivearringstrigger foar in postdomein kin de VPN op it goede momint omheech bringe, mar it bepaalt net wat der bart wylst de tunnel del is of neidat er mislearret.

Brûk it stipelingsbelied fan it einpuntprodukt dat stipe wurdt en beheine it berik mei opsetsin. In regel op appnivo beslacht elk akkount yn dy postapp, ek persoanlike. In regel op bestimmingsnivo moat de IMAP-, ferstjoer- en autentikaasjeeinpunten fan it wurkakkount neame, en moat trochwurkje as dy adressen feroarje.

Belis beide adresfamyljes en besteande sesjes. In belied dat nije IPv4-ferbiningen blokkearret wylst IPv6 of in festige socket gewurde lit, smyt ûnderbrutsen syngronisaasjes op dy’t tafallich lykje. Netwurkferoarings en sliepsyklusen binne diel fan deselde test.

Regels op app- en bestimmingsnivo hawwe ferskillend berik

In blokkade op appnivo is ienfâldich te beredenearjen: gjin ferkear fan Post giet derût sûnder de tunnel. Hy is ek grof, om’t deselde app in persoanlik akkount hâlde kin dat neat mei it belied te meitsjen hat. Brûkers merke dat it earst en melde it as in stikken postapp.

In blokkade op bestimmingsnivo is smeller en hurder te ûnderhâlden. Hy hat de folsleine set einpunten nedich dy’t it akkount brûkt, ynklusyf ûntdekkings- en autentikaasjetsjinsten, en in proses om se by te wurkjen. Mis ien en it akkount wurket heal; nim te folle op en net-relatearre post stoppt.

Kies neffens de bewarding fan de eask. „Dit wurkakkount mei net direkt ferbine“ wiist op bestimmingsberik. „Dizze Mac mei gjin post bûten de VPN draaie“ rjochtfeardiget de bredere appregel, mits de eigner it by-effekt foar it persoanlike akkount akseptearret.

Test wegering en ôfwêzigheid apart

Ferbyn mei in apart testakkount fia de VPN en befêstigje normale wurking. Ferbrek dêrnei en test twa kear: ien kear om te sjen oft de tsjinner de oanmelding wegeret, en ien kear om te sjen oft de Mac hielendal in ferbining besiket. Dat binne ferskillende waarnimmings en se hearre yn ferskillende logs.

Sjoch nei it bewiis oan de kliïntside foar in SYN of in DNS-fraach wylst jo ferbrutsen binne, en nei it log fan de tsjinner foar in wegere of akseptearre sesje. As de tsjinner wegeret mar de kliïnt besiket noch, wurket de tsjinnerregel en ûntbrekt de kliïntregel. As de kliïnt gjin besiking docht mar de tsjinner akseptearret noch oare kliïnten, is de grins krekt wêr’t jo dy pleatst hawwe.

Skriuw de eigner fan de hanterring op, it boarneadres dat de tsjinner echt sjocht, en it brûkte testakkount. De folgjende netwurk- of proxyferoaring kin dy boarne ferpleatse, en in notysje dy’t de waarnommen wearde neamt is flugger te kontrolearjen as noch in rûnde rieden.