E-postynstjoering mislearret as de VPN ferbynt: fyn de staasje

E-post dy’t de hiele moarn wurke, stoppet op it stuit dat de tunnel omheech giet, en de earste ympuls is om it wachtwurd opnij te typen. Dy ympuls slacht de nuttiger fraach oer: hat de klient de tsjinner oait berikt, en is er fier genôch kommen om oanmeldgegevens oan te bieden? In time-out, in sertifikaatflater en in ôfwizingsantwurd binne trije ferskillende flaters, en allinnich de tredde giet oer it akkount. Wurket de stadia op folchoarder troch, dan wurdt de VPN in fariabele dy’t jo testen kinne ynstee fan in fertochte dy’t jo de skuld jouwe.

Stap 1: klassifisearje de flater foardat jo oanmeldgegevens oanreitsje

Lês de flater dy’t de taapassing echt produsearre hat, en pleats him dan yn ien fan trije kuorren. In time-out of in weromsetten ferbining betsjut dat it TCP-paad mislearre; in TLS- of sertifikaatflater betsjut dat it paad wurke en de hânskudding net; in SMTP-antwurd mei in koade betsjut dat in e-posttsjinner antwurde en in beslút naam. Eltse kuor docht in oar ferantwurdlik persoan oan.

De kuorren binne de muoite wurdich te skieden, om’t de ferbetteringen inoar tsjinsprekke. In time-out ferlingje helpt neat as de tsjinner de ôfstjoerder ôfwiist, en in wachtwurd feroarje docht neat as it paad blokkearre is. In antwurdkoade is it weardefolste bewiis op ’e list, want hy bewissiget dat de hiele ferfierskeatling wurke en dat it probleem belied of identiteit is. Bewarje de krekte tekst, ynklusyf elke útwreide statuskoade, foardat jo it opnij probearje.

Stop hjir as jo de flater bûten de VPN net reprodusearje kinne. In probleem dat yn ien taapassing op ien masine ferskynt, is noch gjin netwurkprobleem.

Stap 2: befêstigje it einpunt en de TLS-modus

Berjochtferstjoering is in eigen tsjinst, net itselde as trochstjoering fan tsjinner nei tsjinner. Befêstigje de hostnamme, de poarte en de TLS-modus út ’e dokumintaasje fan ’e leveransier foar ferstjoering, want in fertroude poarte dy’t fan in oare e-postopsetsje liend is, is gjin bewiis. Poarte 587 ferwachtet in gewoane tekstgroat en dêrnei STARTTLS, wylst poarte 465 TLS fan it earste byte ôf ferwachtet.

openssl s_client -connect smtp.example.com:465 -servername smtp.example.com -quiet
openssl s_client -starttls smtp -connect smtp.example.com:587 -servername smtp.example.com -quiet
nc -vz smtp.example.com 587

It ferkearde fan ’e twa probes draaie is krekt de flater dy’t de klient makket as er foar de oare modus konfigurearre is. As de ymplisite-TLS-probe op 587 hingjen bliuwt, of de STARTTLS-probe op 465 mislearret, dan komme de poarte en de modus net oerien. Reparearje de modus yn ’e klient ynstee fan sertifikaatferifikaasje út te skeakeljen, wat in konfiguraasjeflater yn in net-ferifiearre ferbining feroaret. De splitsing is âld genôch om standerdisearre te wêzen: ymplisite TLS op poarte 465 is de regeling dy’t beskreaun wurdt yn RFC 8314.

In sertifikaatflater hjir is ynformaasje ynstee fan in obstakel. Hy neamt de identiteit dy’t de tsjinner presintearre en de identiteit dy’t de klient ferwachte, en beide binne te reparearjen sûnder de ferbining te ferswakjen.

Stap 3: fergelykje paden sûnder it akkount te feroarjen

Hâld it einpunt, it akkount en de klientynstellingen konstant en feroarje allinnich it paad. Stjoer ien kear mei de tunnel del en ien kear mei de tunnel omheech, en tekenje de rûte en it boarneadres op dat de tsjinner sjien soe. As de flater it paad folget, hawwe jo him isolearre; as er de masine folget, net.

ip route get smtp.example.com
curl -v --ssl-reqd --url smtp://smtp.example.com:587 --user "$SMTP_USER" \
  --mail-from [email protected] --mail-rcpt [email protected] --upload-file msg.txt

In folsleine tunnel feroaret it boarneadres dat de leveransier sjocht, en guon leveransiers behannelje in ûnbekende boarne stranger as in ûnbekend wachtwurd. Dat is in beliedsbeslút oan har kant, en it kin in grize list, in taryflimit of in blokkade wêze. Generalisearje net fan ien leveransier nei allegear, en nim net oan dat in ûntbrekkende NAT-regel elke flater ferklearret. De curl-transkripsje lit sjen hokker stadium mislearre, sels as it eigen log fan ’e taapassing dat net docht.

As de tunnel bedoeld is om ynternetferkear te dragen, moatte syn routing en syn útgongsbelied beide dit bestimming tastean. In tunnel dy’t allinnich priveerûtes draacht, lit de e-postferbining op it lokale paad, wat in oare fergeliking is.

Stap 4: stjoer ien ûnskuldich berjocht en tekenje it antwurd op

Reparearje it stadium dat mislearre, en stjoer dan ien ûnskuldich berjocht fia deselde taapassing ynstee fan fia in webmail-side. It is it eigen stjoerpaad fan ’e taapassing dat jo testen, ynklusyf syn bewarre ynstellingen en syn TLS-modus. In webmail-sesje bewiist dêr neat oer.

Tekenje it antwurd, de poarte, de TLS-modus en it paad dat jo brûkten op, sadat de folgjende persoan it resultaat reprodusearje kin. In wurkjende browser en in grien VPN-ikoan binne waarnimmingen oer oare dingen. As it berjocht oankomt, is it oerbleaune wurk om dy konfiguraasje de standert te meitsjen foar elke masine dy’t fia dit akkount stjoert.

De checklist is folslein as jo it stadium dat mislearre, de poarte en TLS-modus dy’t de klient brûkt, it paad dat it berjocht naam en it antwurd dat de tsjinner weromjoech neame kinne. Dy fjouwer feiten feroarje in ûndúdlik probleem mei de útgongsbak yn in feroaring dy’t immen neisjen kin.