E-pošta poslana preko VPN-a: gdje odgovor zapravo odlazi

Pošaljete poruku kroz tunel, prekinete vezu i odgovor stigne sljedećeg jutra. Ništa u tome ne treba staru VPN adresu i ništa se u tome ne kvari. E-pošta ne usmjerava odgovore na adresu s koje je poruka poslana; ona ih usmjerava na poštanski sandučić. Tri se puta ovdje stapaju u jedno pitanje, a njihovo razdvajanje odgovara na većinu zabrinutosti.

Tri puta koja ljudi stapaju u jedan

Predaja, dostava i čitanje tri su odvojene veze i samo dvije od njih uključuju vaš uređaj.

Submission: your mail app  -> your mail service
Delivery:   other mail service -> your mailbox service
Reading:    your app now -> your mailbox service

VPN može utjecati na prvu i treću, jer su to veze koje vaš uređaj uspostavlja. Ne može utjecati na drugu, jer taj put ide između dvaju poštanskih poslužitelja koje ne kontrolirate. Odgovor nije paket koji se vraća na adresu s koje ste poslali. To je nova poruka koju poštanska služba druge strane dostavlja vašoj službi poštanskog sandučića.

Kad držite ta tri odvojeno, pitanje hoće li vas odgovor pronaći prestaje biti tajanstveno.

Polje Reply-To je adresa, a ne ruta

RFC 5322 definira Reply-To kao poštanski sandučić ili sandučiće na koje odgovore treba slati. Bez njega uobičajeni je zadani From sandučić, osim ako osoba koja odgovara upiše nešto drugo. Oba su poštanske adrese u zaglavlju. Nijedno nije uputa da se ponovno otvori mrežna veza koja je predala izvornu poruku.

Zato se adresa VPN izlaza nikada ne pojavljuje na putu odgovora. Čak i kad je poslužitelj za predaju tu izlaznu adresu negdje zabilježio, odgovor je adresiran na poštanski sandučić, a poslužitelj pošiljatelja traži poštanski razmjenjivač domene, a ne vaš stari socket.

Ako odgovor ode negdje neočekivano, pročitajte Reply-To i vlastite postavke klijenta pošiljatelja prije nego što posumnjate na tunel.

Što zapisi u zaglavljima za praćenje doista bilježe

Svaki SMTP skok dodaje zaglavlje Received koje opisuje vezu koju je obradio, a najgornje je posljednji skok prije dostave. Predana poruka zato može nositi mrežne pojedinosti koje vrijedi pregledati, a te pojedinosti pišu poslužitelji, a ne birate ih vi. Što sadrže zavisi od arhitekture predaje kod pružatelja usluge i njegova rukovanja zaglavljima.

Čitajte ih umjesto da nagađate, iz spremljene poruke:

grep -E '^(Received|Return-Path|Reply-To|From):' message.eml

Korisna je disciplina utvrditi koja je pouzdana usluga dodala svako polje. Proizvoljan tekst ranije u bloku zaglavlja nije pouzdan dokaz, a naziv proizvoda nije trajno obećanje da je vaša kućna adresa uvijek prisutna ili uvijek odsutna.

Čitanje pošte kasnije nova je veza

Kad otvorite odgovor, vaš se klijent povezuje s vašom službom poštanskog sandučića preko mreže na kojoj ste sada. To je svježa veza s vlastitom izvornom adresom, a ne nastavak jučerašnjeg socketa za predaju. Slijedi trenutačnu politiku mreže koju u tom trenutku koristite.

Udaljeni sadržaj opet je treća stvar. Klijent e-pošte koji učitava udaljenu sliku ili slijedi poveznicu radi poseban zahtjev prema svojim trenutačnim postavkama, a taj zahtjev može nositi sve identifikatore koje je poruka ugradila. To nije SMTP odgovor koji stiže na staru adresu, a tretiranje kao da jest skriva stvarnu izloženost.

Isključite udaljeni sadržaj ako želite pročitati poruku, a da ne objavite da ste je otvorili.

Što provjeriti prije nego to nazovete curenjem

Počnite s prikazom izvorne poruke i poljem Reply-To. Zatim utvrdite koja je usluga dodala zapise Received koji vas brinu i usporedite to s trenutačnom dokumentacijom pružatelja usluge, a ne sa starim odgovorom s foruma.

Na kraju razdvojite pitanja: što je poslužitelj za predaju primijetio, što je dodao lanac dostave i što je vaš klijent zatražio kad ste otvorili poruku?

Odgovoriti na ta tri odvojeno više je posla nego provjeriti IP stranicu i to je jedina verzija koja daje zaključak koji možete braniti. Odgovor na adresu e-pošte ne otkriva vašu kućnu adresu i ne zahtijeva da stari tunel ostane uključen.