Paštas veikia be VPN: ar jis slapta keliauja tuneliu?
Exchange paskyra nepasirenka tinklo vartų, protokolo ar maršruto. Prieš darydami prielaidas nustatykite diegimą, viešą įėjimą, valdomą VPN ar aktyvų tunelį.
Paštas toliau ateina į telefoną, kuris niekada neparodė VPN piktogramos, ir natūrali išvada – kažkas nematomo praleidžia jį tuneliu. Paprastai nieko nematomo nėra. Exchange paskyros pridėjimas nepasirenka tinklo vartų, protokolo, sertifikato ar maršruto, nes paskyra yra paslaugos tapatybė, o tunelis – tinklo tvarka, kurią sukonfigūravo kažkas kitas. Naudingas žingsnis – nustatyti, kokią tvarką iš tikrųjų turite, o ne ieškoti tunelio, kurio niekada nebuvo.
Trys tvarkos, vienas identiškas ekranas
Visos trys baigiasi tuo, kad paštas atsiranda įrenginyje, o nustatymų ekranas visais atvejais atrodo taip pat. Skiriasi tai, kas sukonfigūravo kelią ir koks įrodymas patvirtina, kad jis egzistuoja.
| Arrangement | Who set it up | What proves it |
|---|---|---|
| Approved public mail entry | The service owner, at the publishing layer | A published endpoint reached over TLS with its own authentication |
| Managed app or account VPN | Device management, as explicit policy | A profile binding that traffic to a VPN association |
| Already active tunnel | An always-on service or an earlier manual connect | Tunnel state plus routes and scope that include the mail destination |
Viešas pasiekiamumas nusipelno savo sakinio, nes jis nuolat skaitomas neteisingai. Paskelbta pašto paslauga nėra paslauga be autentifikavimo, o tai, kad paštas pasiekiamas, nieko nesako apie likusio įmonės tinklo pasiekiamumą. Tai atskiri sprendimai, kuriuos priima atskiri žmonės.
Ką įrenginių valdymas iš tikrųjų gali susieti
Apple platformos palaiko VPN taisykles pagal programą ir pašto domeną, o valdomas iOS arba iPadOS paštas gali turėti paskyrai būdingą VPN asociaciją. Ta asociacija yra diegimo nustatymas su reikšme, kurią kažkas pasirinko, ir būtent todėl jos negalima numatyti į telefoną įvedus elektroninio pašto adresą ir slaptažodį.
Android valdymas ir trečiųjų šalių klientai turi savo programų ir profilių valdiklius, ir nė vienas jų nėra keičiamas su Apple paskyros paketais. Vienoje platformoje egzistuojanti politika turi būti sąmoningai atkartota kitoje. Ji nekeliauja su pašto paskyra ir neatsiranda todėl, kad tas pats žmogus prisijungė prie abiejų. Tikėjimasis, kad šis perkėlimas įvyks savaime, slypi už didelės dalies tarp Platforminių pranešimų „man telefone tai veikia“.
Tapatybė ir perdavimas lieka atskirai
Pašto paslauga ir VPN gali teisėtai dalytis katalogu arba tapatybės teikėju, ir žmonės tą bendrą prisijungimą skaito kaip bendros sesijos įrodymą. Taip nėra. Pasikartojantis vartotojo vardo tekstas neparodo, kad pašto programa paveldėjo VPN sesiją, ir tai nėra priežastis kiekvienai paslaugai išrasti nesusijusius slaptažodžius.
Abi paslaugos reikalauja savo autentifikavimo savomis sąlygomis. Sėkmingo prisijungimo prie pašto nereikėtų laikyti kažkuo, ką reikia įklijuoti į VPN klientą, o pakeltas tunelis nieko nesako apie tai, kurią paskyrą priims pašto serveris. Nuoroda į Intune pašto profilį čia yra geras pavyzdys, nes VPN asociaciją ji traktuoja kaip atskirą nustatymą, o ne kaip savybę, išvestą iš paskyros pavadinimo.
Šviežia sinchronizacija nugali podėlyje saugomą pašto dėžutę
Podėlyje saugoma pašto dėžutė gali atrodyti visiškai sveika be jokio dabartinio kelio, todėl programos atidarymas ir praėjusios savaitės žinučių matymas nieko neįrodo. Naudokite patvirtintą šviežios sinchronizacijos testą ir perskaitykite su juo susijusius būsenos ar žurnalo įrodymus.
Tada patikrinkite keturis dalykus, kurie iš tikrųjų lemia rezultatą: sukonfigūruotą paslaugos galinį tašką, ką grąžina sprendiklis, kuris valdomas profilis taikomas ir dabartinė VPN būsena. Darykite tai tinkamame kontekste, nes asmeninė pašto programa panašiu pavadinimu nepavaldi darbo programos tinklo politikai ir elgsis kitaip dėl visiškai teisėtų priežasčių. Šių dviejų kontekstų sumaišymas yra būdas, kuriuo veikianti konfigūracija pranešama kaip sugedusi. Tai taip pat paaiškina daugumą atvejų, kai viena programa paklūsta politikai, o ją beveik atitinkantis kaimynas ją ignoruoja.
Užrašykite, ką patikrinote
Jei prieiga turėtų reikalauti tunelio, savininkas turėtų patvirtinti ir leidžiamą privatų kelią, ir elgesį be jo. Jei paslauga sąmoningai paskelbta, išsaugokite jos TLS tikrinimą, autentifikavimą ir prieigos kontrolę, o ne laikykite tunelio nebuvimo įrodymu, kad paštas nešifruojamas.
Palaikymo įraše turi būti nurodytas pašto produktas, galinis taškas, paskyros apimtis ir ryšio politika. Vienodi slaptažodžiai nėra nė vieno iš tų keturių įrodymas, ir tai yra dažniausia priežastis, kodėl biliete yra keturios pastraipos ir nė vieno fakto.