Pošta stiže do poslužitelja bez VPN-a: gdje primijeniti pravilo

Pošta stalno provjerava, a VPN je isključen, ali se račun i dalje sinkronizira. Aplikacija radi ono za što je konfigurirana; ništa u normalnom poštanskom profilu ne kaže da je poslužitelj dostupan samo kroz tunel. To ostavlja dva različita zahtjeva i lako ih je pomiješati: usluga treba odbiti izravne klijente ili Mac nikada ne treba pokušati.

Odaberite zahtjev prije nego što odaberete proizvod. Poslužiteljsko pravilo i klijentsko pravilo padaju na različitim mjestima, daju različite dokaze i pripadaju različitim vlasnicima. Primjena oba valjana je kada su obje tvrdnje točne, ali jedno nije zamjena za drugo. Oba zahtjeva su legitimna; samo nisu ista kontrola.

Simptom izgleda kao Mac, ali curenje može biti na poslužitelju

Kada se pošta sinkronizira izvan tunela, počnite od onoga što poslužitelj prihvaća. Ako poštanski slušatelj odgovara na izravnu vezu s interneta, nijedna klijentska postavka udobnosti ne mijenja tu činjenicu. Mac se ponaša normalno prema usluzi koja je još otvorena.

Pitajte poštanskog administratora koju izvornu adresu usluga vidi. VPN pristupnik, obrnuti proxy ili balanser opterećenja mogu prevesti adresu klijenta, pa se skup adresa u VPN konfiguraciji možda ne poklapa s onim što stigne do poštanskog procesa. Pravilo napisano protiv pogrešnog izvora ili blokira sve ili ne blokira nikoga.

Taj odgovor također kaže može li usluga uopće razlikovati VPN klijente. Ako svaki klijent dolazi kroz istu proxy adresu, prijem zasnovan na izvoru ne može ih razdvojiti i zahtjev se mora premjestiti na autentifikaciju ili na klijentsku stranu.

Prijem na poslužitelju: odbijte izvor, ne aplikaciju

Host ili mrežni firewall može ograničiti poštanski slušatelj na odobrene izvorne raspone, ostavljajući autentifikaciju i TLS nepromijenjenima. Uvjet pravila koji poklapa udaljene adrese, podmreže ili raspone uobičajen je gradivni blok; točna sintaksa pripada poslužiteljskom firewall proizvodu, ne poštanskoj aplikaciji.

To je najjača granica kada zahtjev glasi „usluga ne smije posluživati izravne klijente“. Ona vrijedi čak i ako korisnik instalira drugi poštanski klijent, jer odbijanje dolazi prije autentifikacije. Ona također preživi Mac koji ignorira svoju VPN politiku.

Njena granica je jednako važna. Odbijena veza dokazuje da je usluga odbila sesiju; ne dokazuje da Mac nije pokušao. DNS razrješavanje, TCP SYN prema ranijem balanseru opterećenja i ponovni pokušaj nakon neuspjeha mogu se svi dogoditi prije nego se dosegne poslužiteljsko pravilo. Ako se zahtjev tiče otkrivanja pokušaja, a ne pristupa, prijem na poslužitelju je samo pola kontrole.

Sprovođenje na klijentu: blokirajte pokušaj, ne samo tunel

Klijentsko pravilo mora zabraniti promet, a ne samo pokrenuti tunel kada se pošta otvori. Aktivacijski okidač za poštanski domen može podići VPN u pravom trenutku, ali ne određuje što se događa dok je tunel pao ili nakon što ne uspije.

Koristite podržanu politiku blokiranja proizvoda za krajnje točke i namjerno odredite njen obim. Pravilo na razini aplikacije pokriva svaki račun u toj poštanskoj aplikaciji, uključujući osobne. Pravilo na razini odredišta mora imenovati IMAP, slanje i autentifikacijske krajnje točke radnog računa i mora nastaviti raditi kada se te adrese promijene.

Pokrijte obje adresne familije i postojeće sesije. Politika koja blokira nove IPv4 veze dok IPv6 ili uspostavljeni socket ostavlja na miru proizvodi isprekidane sinkronizacije koje izgledaju slučajno. Mrežne promjene i ciklusi spavanja dio su istog testa.

Pravila na razini aplikacije i odredišta imaju različit obim djelovanja

Blokada na razini aplikacije jednostavna je za razmišljanje: nijedan promet iz Pošte ne izlazi bez tunela. Ona je i gruba, jer ista aplikacija može držati osobni račun koji nema nikakve veze s politikom. Korisnici to prvi primijete i prijave kao pokvarenu poštansku aplikaciju.

Blokada na razini odredišta uža je i teža za održavanje. Potreban joj je kompletan skup krajnjih točaka koje račun koristi, uključujući usluge otkrivanja i autentifikacije, i proces za njihovo ažuriranje. Propustite jednu i račun radi napola; uključite previše i nepovezana pošta staje.

Odaberite prema formulaciji zahtjeva. „Ovaj radni račun ne smije se povezivati izravno“ ukazuje na obim odredišta. „Ovaj Mac ne smije voditi poštu izvan VPN-a“ opravdava šire pravilo aplikacije, pod uvjetom da vlasnik prihvati nuspojavu za osobni račun.

Testirajte odbijanje i odsutnost odvojeno

S namjenskim testnim računom povežite se kroz VPN i potvrdite normalan rad. Zatim se odspojite i testirajte dvaput: jednom da vidite odbija li poslužitelj prijavu, i jednom da vidite pokušava li Mac uopće vezu. To su različita zapažanja i pripadaju različitim dnevnicima.

Gledajte klijentske dokaze za SYN ili DNS upit dok ste odspojeni i poslužiteljski dnevnik za odbijenu ili prihvaćenu sesiju. Ako poslužitelj odbija ali klijent još pokušava, poslužiteljsko pravilo radi a klijentsko nedostaje. Ako klijent ne pokušava ali poslužitelj još prihvaća druge klijente, granica je točno tamo gdje ste je postavili.

Zapišite vlasnika sprovođenja, izvornu adresu koju poslužitelj zaista vidi i korišteni testni račun. Sljedeća mrežna ili proxy promjena može pomaknuti taj izvor, a bilješka koja imenuje zapaženu vrijednost brže se provjerava od još jedne runde nagađanja.