Póstur nær þjóninum án VPN: hvar eigi að framfylgja reglunni

Póstur heldur áfram að fyrirspyrja og VPN er niðri, en reikningurinn samstillist samt. Forritið gerir það sem það var stillt á; ekkert í venjulegu póstsniði segir að þjónninn sé aðeins aðgengilegur gegnum göngin. Það skilur eftir tvær ólíkar kröfur, og auðvelt er að rugla þeim saman: þjónustan á að hafna beinum biðlurum, eða Mac á aldrei að gera tilraunina.

Veldu kröfuna áður en þú velur vöru. Regla þjóns og regla biðlarans mistakast á ólíkum stöðum, gefa ólíkar sannanir og tilheyra ólíkum eigendum. Að beita báðum er gilt þegar báðar fullyrðingarnar eru sannar, en önnur kemur ekki í staðinn fyrir hina. Báðar kröfurnar eru lögmætar; þær eru bara ekki sama stjórnin.

Einkennin líta út eins og Mac, en þjónninn gæti verið lekið

Þegar póstur samstillist utan ganganna skaltu byrja á því sem þjónninn samþykkir. Ef pósthlustandinn svarar beinni tengingu frá internetinu breytir engin þægindastilling á biðlarahlið þeirri staðreynd. Mac hagar sér eðlilega gagnvart þjónustu sem er enn opin.

Spurðu póststjórnandann hvaða upprunaaðsetu þjónustan sér. VPN-hlið, öfugt milliþjónn eða hleðslujafnari geta þýtt aðsetur biðlarans, svo aðsetrasafnið í VPN-stillingunni passar kannski ekki við það sem kemur að póstferlinu. Regla skrifuð gegn rangri uppsprettu lokar annaðhvort öllum eða engum.

Það svar segir líka hvort þjónustan geti yfirhöfuð greint VPN-biðlara. Ef hver biðlari kemur gegnum sama milliþjónsaðsetur getur upprunamiðuð aðgangsheimild ekki aðskilið þá, og flytja verður kröfuna yfir í auðkenningu eða á biðlarahlið.

Aðgangsheimild á þjóni: hafnaðu uppsprettunni, ekki forritinu

Eldveggur hýsingar eða netkerfis getur takmarkað pósthlustandann við samþykkt upprunabil á meðan auðkenning og TLS eru óbreytt. Regluskilyrði sem passar fjarlæg aðsetur, undirnet eða bil er venjuleg byggingareining; nákvæm setningafræði tilheyrir eldveggsvöru þjónsins, ekki póstforritinu.

Þetta er sterkasta mörkin þegar krafan er „þjónustan má ekki þjóna beinum biðlurum“. Hún heldur jafnvel þótt notandinn setji upp annan póstbiðlara, vegna þess að höfnunin á sér stað fyrir auðkenningu. Hún lifir líka af Mac sem hunsar VPN-stefnu sína.

Mörk hennar eru jafn mikilvæg. Hafnað tenging sannar að þjónustan hafnaði lotunni; hún sannar ekki að Mac hafi ekki gert tilraun. DNS-upplausn, TCP SYN til fyrri hleðslujafnara og endurtilraun eftir mistök geta allt gerst áður en regla þjónsins næst. Ef krafan snýst um að upplýsa um tilraunir frekar en aðgang, er aðgangsheimild á þjóni aðeins helmingur stjórnarinnar.

Framfylgni á biðlaranum: lokaðu tilrauninni, ekki bara göngunum

Regla á biðlarahlið verður að banna umferðina, ekki bara ræsa göng þegar póstur er opnaður. Virkjunarkveikja fyrir póstlén getur lyft VPN á réttu augnabliki, en hún skilgreinir ekki hvað gerist meðan göngin eru niðri eða eftir að þau mistakast.

Notaðu studda lokunastefnu endapunktavörunnar og afmarkaðu umfang hennar viljandi. Regla á forritastigi nær yfir hvern reikning í því póstforriti, þar á meðal persónulega. Regla á áfangastaðarstigi verður að nefna IMAP-, sendingar- og auðkenningar endapunkta vinnureikningsins, og hún verður að halda áfram að virka þegar þessi aðsetur breytast.

Náðu yfir báðar aðseturfjölskyldur og núverandi lotur. Stefna sem lokar nýjum IPv4-tengingum en lætur IPv6 eða komið sæti í friði framleiðir slitrótta samstillingu sem virðist tilviljunarkennd. Netbreytingar og svefnlotur eru hluti af sama prófinu.

Reglur á forrita- og áfangastaðarstigi hafa ólíkt áhrifasvæði

Lokun á forritastigi er einföld í hugsun: engin umferð frá Pósti fer út án ganganna. Hún er líka gróf, því sama forrit getur haldið persónulegum reikningi sem hefur ekkert með stefnuna að gera. Notendur taka eftir því fyrstir og tilkynna það sem bilað póstforrit.

Lokun á áfangastaðarstigi er þrengri og erfiðari í viðhaldi. Hún þarf allt safn endapunkta sem reikningurinn notar, þar á meðal uppgötvunar- og auðkenningarþjónustur, og ferli til að uppfæra þá. Saknaðu eins og reikningurinn vinnur hálfa vinnu; hafðu of mikið og ótengdur póstur stöðvast.

Veldu eftir orðalagi kröfunnar. „Þessi vinnureikningur má ekki tengjast beint“ bendir á umfang áfangastaðar. „Þessi Mac má ekki keyra póst utan VPN“ réttlætir víðtækari forritaregluna, að því tilskildu að eigandinn samþykki aukaverkunina fyrir persónulega reikninginn.

Prófaðu höfnun og fjarveru aðskilið

Með sérstökum prófunarreikningi skaltu tengjast gegnum VPN og staðfesta eðlilega virkni. Aftengdu þá og prófaðu tvisvar: einu sinni til að sjá hvort þjónninn hafnar innskráningunni, og einu sinni til að sjá hvort Mac reynir yfirhöfuð tengingu. Þetta eru ólíkar athuganir og þær eiga heima í ólíkum annálum.

Fylgstu með sönnunum á biðlarahlið fyrir SYN eða DNS-fyrirspurn á meðan þú ert aftengdur, og annálinum á þjónshlið fyrir hafnaðri eða samþykktri lotu. Ef þjónninn hafnar en biðlarinn reynir samt, virkar regla þjónsins og regla biðlarans vantar. Ef biðlarinn reynir ekkert en þjónninn samþykkir enn aðra biðlara, eru mörkin nákvæmlega þar sem þú settir þau.

Skráðu eiganda framfylgninnar, upprunaaðsetið sem þjónninn sér í raun og prófunarreikninginn sem var notaður. Næsta net- eða milliþjónsbreyting getur fært þá uppsprettu, og athugasemd sem nefnir athugað gildi er fljótlegri að athuga en önnur lota af giskingum.