A levelezés VPN nélkül is működik: titokban alagúton megy?
Az Exchange-fiók nem választ átjárót, protokollt vagy útvonalat. Azonosítsa a telepítést, a nyilvános belépési pontot, a felügyelt VPN-t vagy az aktív alagutat, mielőtt bármit feltételez.
A levél továbbra is megérkezik arra a telefonra, amely soha nem mutatott VPN-ikont, és a természetes következtetés az, hogy valami láthatatlan alagúton viszi át. Általában semmi láthatatlan nincs a dologban. Az Exchange-fiók hozzáadása nem választ átjárót, protokollt, tanúsítványt vagy útvonalat, mert a fiók szolgáltatásidentitás, az alagút pedig valaki más által beállított hálózati elrendezés. Hasznos lépés azonosítani, milyen elrendezés van valójában, ahelyett hogy olyan alagutat keresnénk, amely soha nem létezett.
Három elrendezés, egyetlen azonos képernyő
Mindhárom azzal végződik, hogy a levél megjelenik az eszközön, és a beállítások képernyő minden esetben ugyanúgy néz ki. Az a különbség, hogy ki állította be az útvonalat, és milyen bizonyíték igazolja a létezését.
| Arrangement | Who set it up | What proves it |
|---|---|---|
| Approved public mail entry | The service owner, at the publishing layer | A published endpoint reached over TLS with its own authentication |
| Managed app or account VPN | Device management, as explicit policy | A profile binding that traffic to a VPN association |
| Already active tunnel | An always-on service or an earlier manual connect | Tunnel state plus routes and scope that include the mail destination |
A nyilvános elérhetőség saját mondatot érdemel, mert folyamatosan félreolvassák. A közzétett levelezőszolgáltatás nem hitelesítés nélküli szolgáltatás, és az, hogy a levél elérhető, semmit nem mond arról, hogy a vállalati hálózat többi része elérhető-e. Ezek külön döntések, amelyeket külön emberek hoznak.
Mit tud valójában összekötni az eszközkezelés
Az Apple platformjai támogatják az alkalmazásonkénti és levelezési domainenkénti VPN-szabályokat, a felügyelt iOS- vagy iPadOS-levelezés pedig hordozhat fiókspecifikus VPN-társítást. Ez a társítás olyan kiépítési beállítás, amelynek értékét valaki kiválasztotta, és éppen ezért nem lehet következtetni rá e-mail-cím és jelszó telefonba történő beírásából.
Az Android-kezelésnek és a harmadik féltől származó klienseknek saját alkalmazás- és profilvezérlésük van, és egyik sem csereszabatos az Apple fiókcsomagjaival. Az egyik platformon létező szabályzatot a másikon szándékosan újra kell alkotni. Nem utazik a levelezőfiókkal, és nem azért érkezik meg, mert ugyanaz a személy mindkettőbe bejelentkezett. Az a várakozás, hogy ez az átvitel magától megtörténik, áll a platformok közötti „nálam működik a telefonomon” jelentések nagy része mögött.
Az identitás és a szállítás külön marad
A levelezőszolgáltatás és a VPN jogosan oszthat meg egy címtárat vagy identitásszolgáltatót, és az emberek ezt a közös bejelentkezést a közös munkamenet bizonyítékaként olvassák. Nem az. Az ismétlődő felhasználónév-szöveg nem mutatja, hogy a levelezőalkalmazás VPN-munkamenetet örökölt, és ez nem ok arra, hogy minden szolgáltatáshoz független jelszavakat találjunk ki.
Mindkét szolgáltatás a saját hitelesítését követeli a saját feltételei szerint. A sikeres levelezési bejelentkezést soha nem szabad úgy kezelni, mint amit VPN-kliensbe kell beilleszteni, és a feljött alagút semmit nem mond arról, melyik fiókot fogadja el a levelezőszerver. Az Intune levelezési profiljára való hivatkozás jó példa itt, mert a VPN-társítást külön beállításként kezeli, nem pedig a fióknévből származtatott tulajdonságként.
A friss szinkronizálás legyőzi a gyorsítótárazott postaládát
A gyorsítótárazott postaláda teljesen egészségesnek tűnhet, miközben egyáltalán nincs aktuális útvonal, ezért semmit nem bizonyít, ha megnyitjuk az alkalmazást, és a múlt heti üzeneteket látjuk. Használjon jóváhagyott friss szinkronizálási tesztet, és olvassa el a hozzá tartozó állapot- vagy naplóbizonyítékot.
Ezután ellenőrizze a négy dolgot, amely valójában meghatározza az eredményt: a beállított szolgáltatásvégpontot, hogy mit ad vissza a feloldó, melyik felügyelt profil érvényes, és a VPN aktuális állapotát. Tegye ezt a megfelelő kontextusban, mert egy hasonló nevű személyes levelezőalkalmazás nem a munkaalkalmazás hálózati szabályzata alá tartozik, és teljesen jogos okokból másként viselkedik. E két kontextus összekeverése az, ahogy egy működő konfigurációt hibásként jelentenek. Ez magyarázza a legtöbb olyan esetet is, amikor az egyik alkalmazás engedelmeskedik egy szabályzatnak, a csaknem névrokon pedig figyelmen kívül hagyja.
Írja le, mit ellenőrzött
Ha az elérést alagútnak kell megkövetelnie, a tulajdonosnak meg kell erősítenie az engedélyezett magánútvonalat és az alagút nélküli viselkedést is. Ha a szolgáltatást szándékosan teszik közzé, tartsa a helyén a TLS-érvényesítést, a hitelesítést és a hozzáférés-vezérlést, ahelyett hogy az alagút hiányát annak bizonyítékaként kezelné, hogy a levél nincs titkosítva.
A támogatási bejegyzésnek meg kell neveznie a levelezőterméket, a végpontot, a fiók hatókörét és a kapcsolati szabályzatot. Az azonos jelszavak egyikükre sem bizonyíték, és ez a leggyakoribb oka annak, hogy egy jegy négy bekezdést és semmi tényt nem tartalmaz.