VPN conectada pero IMAP non sincroniza? Revise estas tres capas

Conéctese á VPN da oficina, abra o cliente de correo e observe como a bandexa de entrada se nega a actualizarse mentres o webmail carga con normalidade. O diagnóstico habitual é que a VPN deixa pasar o tráfico pero bloquea o correo, ou que o contrasinal da conta cambiou. Ambas as conxecturas omiten a estrutura do que fai un cliente IMAP. Chegar ao host, completar TLS, autenticarse e seleccionar unha caixa de correo son catro acontecementos distintos, e a VPN só posúe o primeiro.

O mito: unha conexión significa un inicio de sesión

A crenza é que, unha vez levantado o túnel e cando o servidor de correo responde, a caixa de correo está efectivamente aberta. Non o está. A VPN fornece unha ruta ata o servizo; non inicia sesión por vostede e non selecciona un cartafol. Un cliente pode quedar no cuarto deses pasos cun túnel perfectamente funcional e un contrasinal válido.

Nese oco viven en realidade a maioría dos informes de «IMAP non funciona con VPN».

Tres estados de IMAP e onde se atascan os clientes

IMAP define un estado non autenticado, un estado autenticado e un estado seleccionado, e os comandos só son válidos no estado que os permite. Unha conexión tamén pode comezar xa autenticada cando o servidor ofrece autenticación previa, así que a ausencia dunha solicitude de contrasinal non demostra nada. Seleccionar unha caixa de correo move a sesión de autenticada a seleccionada, e só entón os comandos que actúan sobre mensaxes teñen un obxectivo.

Un cliente que se autentica correctamente e despois non logra seleccionar o cartafol configurado parecerá un fallo de sincronización mentres o servidor se comporta ben. Cartafoles renomeados, un provedor que asigna «bandexa de entrada» doutro xeito ou permisos de acceso ausentes acaban todos aquí. A resposta NO etiquetada do servidor é a evidencia, e non é a mesma resposta que un contrasinal rexeitado.

TLS chega antes da conversa IMAP

Con TLS implícito no porto 993, o apretamento de mans TLS complétase antes de que se envíe calquera comando IMAP, polo que un problema de certificado produce un erro que menciona a confianza e non o correo. O nome de host do correo debe validarse contra o certificado igual que un nome de host web; un túnel que conserva o tráfico non fai válido un certificado non válido.

O texto do erro separa os casos. Un tempo de espera de conexión significa que o SYN nunca se completou. Un erro de TLS significa que a conexión TCP funcionou e o apretamento de mans non. Unha resposta IMAP NO ou BAD significa que ambos tiveron éxito e que a capa de protocolo rexeitou algo. Anote cal viu antes de cambiar calquera axuste.

O correo na caché non proba nada

Un cliente de correo mostra as mensaxes descargadas previamente tanto se hoxe pode chegar ao servidor como se non, así que unha bandexa de entrada que se mostra só lle di que o almacenamento local funciona. Calquera proba real debe forzar unha operación no servidor: actualice un cartafol, descargue unha mensaxe que nunca se descargou ou envíe un comando que o cliente só emitiría tras seleccionar a caixa de correo.

Use unha comprobación non destrutiva. Actualizar un cartafol e ler o rexistro de erros da conta é mellor que eliminar e volver engadir a conta, o que sobre todo demostra que a pantalla de configuración segue funcionando.

Enviar e webmail son protocolos distintos

Enviar correo é envío, non IMAP. Usa un servizo separado e normalmente un porto separado co seu propio modo TLS e a súa propia autenticación, así que unha bandexa de saída que funciona non demostra que se seleccionase a caixa IMAP, e unha bandexa de saída rota non incrimina IMAP.

O webmail volve ser distinto. Pode funcionar sobre a mesma VPN porque é unha sesión HTTPS contra un front-end web, o que non di nada sobre o host IMAP, o porto ou o modo TLS do cliente de escritorio.

Para un traspaso, anote catro resultados por separado: a ruta da VPN, o resultado do extremo de correo e TLS, o resultado da autenticación da conta e o resultado da selección da caixa de correo. Manteña as credenciais e o contido das mensaxes fóra da nota. Ese rexistro di á persoa seguinte se a corrección pertence á rede, ao certificado, á conta ou á configuración de cartafoles, sen debilitar ningunha das dúas capas de protección.