Paštas pasiekia serverį be VPN: kur taikyti taisyklę

Paštas toliau klausinėja, o VPN išjungtas, tačiau paskyra vis dar sinchronizuojama. Programa daro tai, kam buvo sukonfigūruota; nieko įprastame pašto profilyje nėra sakoma, kad serveris pasiekiamas tik per tunelį. Tai palieka du skirtingus reikalavimus, ir juos lengva supainioti: paslauga turėtų atmesti tiesioginius klientus, arba Mac neturėtų apskritai bandyti.

Pasirinkite reikalavimą prieš pasirinkdami produktą. Serverio taisyklė ir kliento taisyklė žlunga skirtingose vietose, pateikia skirtingus įrodymus ir priklauso skirtingiems savininkams. Abiejų taikymas galioja, kai abu teiginiai teisingi, tačiau vienas nepakeičia kito. Abu reikalavimai teisėti; tiesiog tai ne ta pati kontrolė.

Simptomas atrodo kaip Mac, bet serveris gali būti nuotėkis

Kai paštas sinchronizuojasi už tunelio ribų, pradėkite nuo to, ką serveris priima. Jei pašto klausytojas atsako į tiesioginį ryšį iš interneto, jokia kliento pusės patogumo nuostata to fakto nekeičia. Mac elgiasi įprastai su paslauga, kuri vis dar atvira.

Paklauskite pašto administratoriaus, kokį šaltinio adresą mato paslauga. VPN tarpinė, atvirkštinė tarpinė ar apkrovos balansuotojas gali išversti kliento adresą, todėl VPN konfigūracijos adresų telkinys gali nesutapti su tuo, kas pasiekia pašto procesą. Taisyklė, parašyta prieš netinkamą šaltinį, arba blokuoja visus, arba neblokuoja nieko.

Šis atsakymas taip pat pasako, ar paslauga apskritai gali atskirti VPN klientus. Jei kiekvienas klientas atvyksta per tą patį tarpinės adresą, priėmimas pagal šaltinį negali jų atskirti, ir reikalavimas turi persikelti į autentifikavimą arba į kliento pusę.

Priėmimas serveryje: atmeskite šaltinį, o ne programą

Pagrindinio kompiuterio ar tinklo užkarda gali apriboti pašto klausytoją patvirtintais šaltinio intervalais, palikdama autentifikavimą ir TLS nepakeistus. Taisyklės sąlyga, atitinkanti nuotolinius adresus, potinklius ar intervalus, yra įprastas statybinis blokas; tiksli sintaksė priklauso serverio užkardos produktui, o ne pašto programai.

Tai stipriausia riba, kai reikalavimas yra „paslauga neturi aptarnauti tiesioginių klientų“. Ji išlieka net jei naudotojas įdiegia kitą pašto klientą, nes atsisakymas įvyksta prieš autentifikavimą. Ji taip pat atlaiko Mac, kuris nepaiso savo VPN politikos.

Jos riba ne mažiau svarbi. Atmestas ryšys įrodo, kad paslauga atsisakė sesijos; jis neįrodo, kad Mac nebandė. DNS sprendimas, TCP SYN į ankstesnį apkrovos balansuotoją ir pakartotinis bandymas po nesėkmės gali įvykti prieš pasiekiant serverio taisyklę. Jei reikalavimas susijęs su bandymų atskleidimu, o ne su prieiga, priėmimas serveryje yra tik pusė kontrolės.

Vykdymas kliente: blokuokite bandymą, o ne tik tunelį

Kliento pusės taisyklė turi uždrausti srautą, o ne tik paleisti tunelį atidarius paštą. Pašto srities aktyvinimo trigeris gali laiku pakelti VPN, tačiau jis neapibrėžia, kas vyksta, kol tunelis išjungtas arba po jo nesėkmės.

Naudokite galinio taško produkto palaikomą blokavimo politiką ir sąmoningai nustatykite jos apimtį. Programos lygio taisyklė apima kiekvieną tos pašto programos paskyrą, įskaitant asmenines. Paskirties lygio taisyklė turi įvardyti darbo paskyros IMAP, siuntimo ir autentifikavimo galinius taškus, ir ji turi toliau veikti, kai tie adresai keičiasi.

Apimkite abi adresų šeimas ir esamas sesijas. Politika, kuri blokuoja naujus IPv4 ryšius, bet palieka IPv6 arba nustatytą lizdą, sukuria protarpinį sinchronizavimą, kuris atrodo atsitiktinis. Tinklo pokyčiai ir miego ciklai yra to paties bandymo dalis.

Programos ir paskirties lygio taisyklės turi skirtingą poveikio sritį

Programos lygio blokavimą lengva suprasti: joks srautas iš Pašto neišeina be tunelio. Jis taip pat grubus, nes toje pačioje programoje gali būti asmeninė paskyra, neturinti nieko bendra su politika. Naudotojai tai pastebi pirmieji ir praneša kaip apie sugedusią pašto programą.

Paskirties lygio blokavimas yra siauresnis ir sunkiau prižiūrimas. Jam reikia viso galinių taškų rinkinio, kurį paskyra naudoja, įskaitant aptikimo ir autentifikavimo paslaugas, ir jų atnaujinimo proceso. Vieno trūksta ir paskyra veikia pusiau; įtraukite per daug ir nesusijęs paštas sustoja.

Rinkitės pagal reikalavimo formuluotę. „Ši darbo paskyra neturi jungtis tiesiogiai“ nurodo paskirties apimtį. „Šis Mac neturi valdyti pašto už VPN ribų“ pateisina platesnę programos taisyklę, jei savininkas sutinka su asmeninės paskyros šalutiniu poveikiu.

Tikrinkite atsisakymą ir nebuvimą atskirai

Su skirtąja bandomąja paskyra prisijunkite per VPN ir patvirtinkite normalų veikimą. Tada atsijunkite ir tikrinkite du kartus: vieną kartą, ar serveris atsisako prisijungimo, ir vieną kartą, ar Mac apskritai bando ryšį. Tai skirtingi stebėjimai, ir jie priklauso skirtingiems žurnalams.

Stebėkite kliento pusės įrodymus dėl SYN ar DNS užklausos, kol esate atsijungę, ir serverio žurnalą dėl atmestos ar priimtos sesijos. Jei serveris atsisako, bet klientas vis dar bando, serverio taisyklė veikia, o kliento taisyklės trūksta. Jei klientas nebando, bet serveris vis dar priima kitus klientus, riba yra būtent ten, kur ją padėjote.

Užrašykite vykdymo savininką, šaltinio adresą, kurį serveris iš tikrųjų mato, ir naudotą bandomąją paskyrą. Kitas tinklo ar tarpinės pakeitimas gali perkelti tą šaltinį, o užrašas, įvardijantis stebėtą vertę, patikrinamas greičiau nei dar vienas spėjimų ratas.