ფოსტა VPN-ის გარეშე აღწევს სერვერამდე: სად უნდა აღსრულდეს წესი

ფოსტა განაგრძობს მოთხოვნას და VPN გამორთულია, მაგრამ ანგარიში მაინც სინქრონდება. აპი აკეთებს იმას, რისთვისაც იყო კონფიგურირებული; ჩვეულებრივ ფოსტის პროფილში არსად წერია, რომ სერვერი მხოლოდ გვირაბით არის ხელმისაწვდომი. ეს ტოვებს ორ სხვადასხვა მოთხოვნას და მათი არევა ადვილია: სერვისმა უნდა უარყოს პირდაპირი კლიენტები, ან Mac-მა საერთოდ არ უნდა სცადოს.

აირჩიეთ მოთხოვნა სანამ პროდუქტს აირჩევთ. სერვერის წესი და კლიენტის წესი სხვადასხვა ადგილას ფარცხდება, სხვადასხვა მტკიცებულებას იძლევა და სხვადასხვა მფლობელს ეკუთვნის. ორივეს გამოყენება ნამდვილია, როცა ორივე განცხადება მართალია, მაგრამ ერთი მეორეს არ ცვლის. ორივე მოთხოვნა ლეგიტიმურია; უბრალოდ ისინი ერთი და იგივე კონტროლი არ არის.

სიმპტომი Mac-ს ჰგავს, მაგრამ გაჟონვა სერვერში შეიძლება იყოს

როცა ფოსტა გვირაბის გარეთ სინქრონდება, დაიწყეთ იმით, რასაც სერვერი იღებს. თუ ფოსტის მსმენელი პასუხობს ინტერნეტიდან პირდაპირ კავშირს, კლიენტის მხარეს არც ერთი კომფორტის პარამეტრი არ ცვლის ამ ფაქტს. Mac ჩვეულებრივად იქცევა ჯერ კიდევ ღია სერვისის მიმართ.

ჰკითხეთ ფოსტის ადმინისტრატორს, რომელ წყაროს მისამართს ხედავს სერვისი. VPN-ის კარიბჭეს, უკუპროქსის ან დატვირთვის ბალანსირებელს შეუძლია კლიენტის მისამართის გარდაქმნა, ამიტომ VPN-ის კონფიგურაციის მისამართების აუზი შეიძლება არ დაემთხვეს იმას, რაც ფოსტის პროცესამდე აღწევს. არასწორ წყაროზე დაწერილი წესი ან ყველას ბლოკავს, ან არავის.

ეს პასუხი ასევე გეტყვით, შეუძლია თუ არა სერვისს საერთოდ VPN კლიენტების გარჩევა. თუ ყოველი კლიენტი იმავე პროქსის მისამართით მოდის, წყაროზე დაფუძნებული დაშვება ვერ გაყოფს მათ და მოთხოვნა უნდა გადავიდეს ავთენტიფიკაციაზე ან კლიენტის მხარეს.

დაშვება სერვერზე: უარყავით წყარო, და არა აპი

ჰოსტის ან ქსელის ფაირვოლი შეუძლია ფოსტის მსმენელი შემოიფარგლოს დამტკიცებული წყაროს დიაპაზონებით, ხოლო ავთენტიფიკაცია და TLS უცვლელად დატოვოს. წესის პირობა, რომელიც ემთხვევა შორეულ მისამართებს, ქვექსელებს ან დიაპაზონებს, ჩვეულებრივი სამშენებლო ბლოკია; ზუსტი სინტაქსი სერვერის ფაირვოლის პროდუქტს ეკუთვნის და არა ფოსტის აპს.

ეს ყველაზე ძლიერი საზღვარია, როცა მოთხოვნაა «სერვისმა არ უნდა მოემსახუროს პირდაპირ კლიენტებს». ის ძლებს მაშინაც, თუ მომხმარებელი სხვა ფოსტის კლიენტს დააყენებს, რადგან უარყოფა ავთენტიფიკაციამდე ხდება. ის ასევე გადაურჩება Mac-ს, რომელიც თავის VPN პოლიტიკას უგულებელყოფს.

მისი საზღვარი თანაბრად მნიშვნელოვანია. უარყოფილი კავშირი ამტკიცებს, რომ სერვისმა სესია უარყო; ის არ ამტკიცებს, რომ Mac-მა არ სცადა. DNS-ის გარჩევა, TCP SYN ადრინდელ დატვირთვის ბალანსირებელზე და ხელახალი ცდა წარუმატებლობის შემდეგ — ყველაფერი შეიძლება მოხდეს სანამ სერვერის წესს მიაღწევენ. თუ მოთხოვნა ცდების გამჟღავნებას ეხება და არა წვდომას, სერვერზე დაშვება კონტროლის მხოლოდ ნახევარია.

აღსრულება კლიენტზე: დაბლოკეთ ცდა და არა მხოლოდ გვირაბი

კლიენტის მხარეს წესმა უნდა აკრძალოს ტრაფიკი და არა უბრალოდ გაუშვას გვირაბი ფოსტის გახსნისას. ფოსტის დომენისთვის გააქტიურების ტრიგერს შეუძლია VPN სწორ მომენტში აამაღლოს, მაგრამ ის არ განსაზღვრავს, რა ხდება გვირაბის გამორთულობისას ან მისი წარუმატებლობის შემდეგ.

გამოიყენეთ საბოლოო წერტილის პროდუქტის მხარდაჭერილი ბლოკირების პოლიტიკა და განზრახ განსაზღვრეთ მისი მოცულობა. აპის დონის წესი მოიცავს ამ ფოსტის აპის ყველა ანგარიშს, მათ შორის პირადს. დანიშნულების დონის წესმა უნდა დაასახელოს სამუშაო ანგარიშის IMAP-, გაგზავნისა და ავთენტიფიკაციის საბოლოო წერტილები და უნდა გააგრძელოს მუშაობა, როცა ეს მისამართები იცვლება.

დაფარეთ მისამართების ორივე ოჯახი და არსებული სესიები. პოლიტიკა, რომელიც ბლოკავს ახალ IPv4 კავშირებს და ხელუხლებლად ტოვებს IPv6-ს ან უკვე დამყარებულ სოკეტს, წარმოშობს წყვეტილ სინქრონიზაციებს, რომლებიც შემთხვევითი ჩანს. ქსელის ცვლილებები და ძილის ციკლები იმავე ტესტის ნაწილია.

აპის და დანიშნულების დონის წესებს განსხვავებული გავლენის არეალი აქვთ

აპის დონის ბლოკირება მარტივი გასააზრებელია: გვირაბის გარეშე ფოსტიდან ტრაფიკი არ გადის. ის ასევე უხეშია, რადგან იმავე აპში შეიძლება იყოს პირადი ანგარიში, რომელსაც პოლიტიკასთან არაფერი აქვს საერთო. მომხმარებლები ამას პირველები ამჩნევენ და აფიქსირებენ როგორც გატეხილ ფოსტის აპს.

დანიშნულების დონის ბლოკირება უფრო ვიწროა და რთულად შესანარჩუნებელი. მას სჭირდება ანგარიშის მიერ გამოყენებული საბოლოო წერტილების სრული ნაკრები, მათ შორის აღმოჩენისა და ავთენტიფიკაციის სერვისები, და მათი განახლების პროცესი. ერთი გამოტოვეთ და ანგარიში ნახევრად მუშაობს; ზედმეტი ჩართეთ და უკავშირო ფოსტა ჩერდება.

აირჩიეთ მოთხოვნის ფორმულირების მიხედვით. «ამ სამუშაო ანგარიშმა პირდაპირ არ უნდა დაუკავშირდეს» დანიშნულების არეალზე მიუთითებს. «ამ Mac-მა ფოსტა VPN-ის გარეთ არ უნდა ამუშაოს» ამართლებს უფრო ფართო აპის წესს, თუ მფლობელი დათანხმდება პირად ანგარიშზე გვერდით ეფექტს.

გამოსცადეთ უარყოფა და არქონა ცალ-ცალკე

გამოყოფილი სატესტო ანგარიშით დაუკავშირდით VPN-ით და დაადასტურეთ ნორმალური მუშაობა. შემდეგ გათიშეთ და ორჯერ გამოსცადეთ: ერთხელ რომ ნახოთ, უარყოფს თუ არა სერვერი შესვლას, და ერთხელ რომ ნახოთ, ცდილობს თუ არა Mac საერთოდ კავშირს. ეს სხვადასხვა დაკვირვებაა და ისინი სხვადასხვა ჟურნალს ეკუთვნის.

უყურეთ კლიენტის მხარეს მტკიცებულებებს SYN-ის ან DNS მოთხოვნის შესახებ, სანამ გათიშული ხართ, და სერვერის ჟურნალს უარყოფილი ან მიღებული სესიის შესახებ. თუ სერვერი უარყოფს, მაგრამ კლიენტი მაინც ცდილობს, სერვერის წესი მუშაობს და კლიენტის წესი აკლია. თუ კლიენტი არ ცდილობს, მაგრამ სერვერი კვლავ იღებს სხვა კლიენტებს, საზღვარი ზუსტად იქ არის, სადაც თქვენ დააყენეთ.

ჩაწერეთ აღსრულების მფლობელი, წყაროს მისამართი, რომელსაც სერვერი რეალურად ხედავს, და გამოყენებული სატესტო ანგარიში. შემდეგმა ქსელის ან პროქსის ცვლილებამ შეიძლება გადაადგილოს ეს წყარო, და დაკვირვებული მნიშვნელობის მომხსენებელი ჩანაწერი უფრო სწრაფად მოწმდება, ვიდრე გამოცნობის კიდევ ერთი რაუნდი.