D’Mail erreecht de Server ouni VPN: wou d’Regel muss gëllen

D’Mail freet weider an d’VPN ass aus, awer de Kont synchroniséiert nach. D’App mécht dat, wofir si konfiguréiert ass; näischt an engem normale Mailprofil seet, datt de Server nëmmen duerch den Tunnel erreechbar ass. Doduerch bleiwen zwou verschidde Fuerderungen, an et ass einfach si ze verwiesselen: den Déngscht soll direkt Clienten ofweisen, oder de Mac soll et guer net probéieren.

Wielt d’Fuerderung, ier dir e Produkt wielt. Eng Serverregel an eng Clientregel feelen op verschiddene Plazen, liwweren ënnerschiddlech Beweiser a gehéieren zu verschiddene Besëtzer. Beides unzewenden ass valabel, wann béid Aussoen richteg sinn, awer dat engt ersetzt dat anert net. Béid Fuerderunge si legitim; si sinn just net déiselwecht Kontroll.

D’Symptom gesäit wéi de Mac aus, awer de Server ka Lach sinn

Wann d’Mail ausserhalb vum Tunnel synchroniséiert, fänkt domat un, wat de Server akzeptéiert. Wann de Mail-Listener op eng direkt Verbindung aus dem Internet äntwert, ännert keng Komfortastellung op der Clientsäit dës Tatsaach. De Mac verhält sech normal géigeniwwer engem Déngscht, deen nach op ass.

Frot de Mailadministrator, wéi eng Quelladress den Déngscht gesäit. E VPN-Gateway, e Reverse-Proxy oder e Loadbalancer kënnen d’Clientadress iwwersetzen, dofir passt de Adresspool an der VPN-Konfiguratioun vläicht net mat deem, wat beim Mailprozess ukommt. Eng Regel géint déi falsch Quell blockéiert buedem oder keen.

Dës Äntwert seet och, ob den Déngscht VPN-Clienten iwwerhaapt kann ënnerscheeden. Wann all Client iwwer déiselwecht Proxyadress ukommt, kann d’Zouloossung op Basis vun der Quell si net trennen, an d’Fuerderung muss op d’Authentifikatioun oder op d’Clientsäit verréckelt ginn.

Zouloossung um Server: weist d’Quell of, net d’App

En Host- oder Netzwierkfirewall kann de Mail-Listener op guttgeheescht Quellberäicher limitéieren, wärend Authentifikatioun an TLS onverännert bleiwen. Eng Regelbedingung, déi wäit Adressen, Subnetzer oder Beräicher entsprécht, ass de gewinnten Bausteen; déi genee Syntax gehéiert zum Firewallprodukt vum Server, net zu der Mail-App.

Dëst ass déi stäerkst Grenz, wann d’Fuerderung ass „den Déngscht soll keng direkt Clienten zerwéieren“. Et hält och, wann de Benotzer en anere Mailclient installéiert, well d’Ofweisung virun der Authentifikatioun geschitt. Et iwwerlieft och e Mac, deen seng VPN-Politik ignoréiert.

Seng Grenz ass genee esou wichteg. Eng ofgewisen Verbindung beweist, datt den Déngscht d’Sessioun ofgewisen huet; si beweist net, datt de Mac keen Versuch gemaach huet. DNS-Opléisung, en TCP SYN op e fréiere Loadbalancer an en neie Versuch no engem Feeler kënnen all geschéien, ier d’Serverregel erreecht gëtt. Wann d’Fuerderung d’Offenleeung vun de Versich an net den Zougang betrëfft, ass d’Zouloossung um Server just d’Halschent vun der Kontroll.

Duerchsetzung um Client: blockéiert de Versuch, net just den Tunnel

Eng Regel op der Clientsäit muss den Traffic verbidden, net just en Tunnel starten, wann d’Mail opgemaach gëtt. En Aktivéierungstrigger fir eng Mail-Domän kann d’VPN am richtege Moment eropbréngen, awer en definéiert net, wat geschitt, während den Tunnel aus ass oder nodeems en feelt.

Benotzt déi ënnerstëtzt Blockéierungspolitik vum Endpunktprodukt a begrenzt hire Beräich bewosst. Eng Regel op Appniveau deckt all Kont an där Mail-App, och perséinlech. Eng Regel op Destinatiounsniveau muss d’IMAP-, Sende- an Authentifikatiounsendpunkte vum Aarbechtskont nennen, an si muss weider funktionéieren, wann dës Adressen sech änneren.

Deckt béid Adressfamilljen a bestoend Sessiounen of. Eng Politik, déi nei IPv4-Verbindungen blockéiert, awer IPv6 oder e etabléierte Socket rou loosst, produzéiert ënnerbrach Synchronisatiounen, déi zoufälleg wierken. Netzwierkännerungen an Schlofzyklen sinn Deel vum selwechten Test.

Reegelen op App- an Destinatiounsniveau hunn en ënnerschiddlechen Aflossberäich

Eng Blockéierung op Appniveau ass einfach ze denken: keen Traffic vun der Mail geet ouni den Tunnel eraus. Si ass och gro, well déiselwecht App e perséinleche Kont ka halen, deen näischt mat der Politik ze dinn huet. D’Benotzer mierken dat als éischt a mellen et als futti Mail-App.

Eng Blockéierung op Destinatiounsniveau ass méi schmuel a méi schwéier ze ënnerhalen. Si brauch de kompletten Set vun Endpunkten, déi de Kont benotzt, inklusiv Entdeckungs- an Authentifikatiounsdéngschter, an e Prozess fir si z’aktualiséieren. Ee fehlt an de Kont schafft hallef; ze vill abezunn an onbezunn Mail stoppt.

Wielt no der Formuléierung vun der Fuerderung. „Dësen Aarbechtskont däerf net direkt verbinden“ weist op den Destinatiounsberäich. „Dëse Mac däerf d’Mail net ausserhalb vun der VPN bedreiwen“ justifiéiert déi méi breet Appregel, viruausgesat den Besëtzer akzeptéiert den Nieweneffekt fir de perséinleche Kont.

Test d’Ofweisung an d’Fehlen getrennt

Mat engem eegene Testkont, verbënnt duerch d’VPN a bestätegt normal Betrib. Da trennt an test zweemol: eemol fir ze gesinn, ob de Server d’Aloggen ofweist, an eemol fir ze gesinn, ob de Mac iwwerhaapt eng Verbindung probéiert. Dat sinn ënnerschiddlech Observatiounen a si gehéieren an ënnerschiddlech Loggen.

Kuckt d’Beweiser op der Clientsäit fir en SYN oder eng DNS-Ufro, während dir getrennt sidd, an de Serverlog fir eng ofgewisen oder akzeptéiert Sessioun. Wann de Server ofweist, awer de Client nach probéiert, funktionéiert d’Serverregel an d’Clientregel feelt. Wann de Client näischt probéiert, awer de Server nach aner Clienten akzeptéiert, ass d’Grenz genee do, wou dir se gesat hutt.

Notéiert de Besëtzer vun der Duerchsetzung, d’Quelladress, déi de Server wierklech gesäit, an de benotzten Testkont. Déi nächst Netzwierk- oder Proxyännerung kann déi Quell verréckelen, an eng Notiz déi de observéierte Wäert nennt, ass méi séier z’iwwerpréiwen wéi nach eng Ronn Radiener.