VPN prisijungta, bet IMAP nesinchronizuoja? Patikrinkite šiuos tris sluoksnius

Prisijunkite prie biuro VPN, atidarykite pašto klientą ir stebėkite, kaip gautųjų dėžutė atsisako atnaujintis, o žiniatinklio paštas įkeliamas įprastai. Įprasta diagnozė yra ta, kad VPN praleidžia srautą, bet blokuoja paštą, arba kad pasikeitė paskyros slaptažodis. Abi prielaidos praleidžia tai, ką daro IMAP klientas, struktūrą. Pasiekti mazgą, užbaigti TLS, autentifikuotis ir pasirinkti pašto dėžutę yra keturi skirtingi įvykiai, o VPN turi tik pirmąjį.

Mitas: viena jungtis reiškia vieną prisijungimą

Tikima, kad vos tuneliui atsistojus ir pašto serveriui atsakius, pašto dėžutė faktiškai atidaryta. Taip nėra. VPN suteikia kelią į paslaugą; jis neprisijungia už jus ir nepasirenka aplanko. Klientas gali stovėti ketvirtame iš šių žingsnių su visiškai veikiančiu tuneliu ir galiojančiu slaptažodžiu.

Būtent šioje spragoje iš tikrųjų gyvena dauguma pranešimų „IMAP neveikia per VPN“.

Trys IMAP būsenos ir kur klientai užstringa

IMAP apibrėžia neautentifikuotą būseną, autentifikuotą būseną ir pasirinktą būseną, o komandos galioja tik toje būsenoje, kuri jas leidžia. Ryšys taip pat gali prasidėti jau autentifikuotas, kai serveris siūlo išankstinį autentifikavimą, todėl slaptažodžio užklausos nebuvimas nieko neįrodo. Pašto dėžutės pasirinkimas perkelia sesiją iš autentifikuotos į pasirinktą, ir tik tada komandos, veikiančios pranešimus, turi tikslą.

Klientas, kuris sėkmingai autentifikuojasi ir tada nepavyksta pasirinkti sukonfigūruoto aplanko, atrodys kaip sinchronizavimo klaida, nors serveris elgiasi teisingai. Pervadinti aplankai, tiekėjas, kuris „gautuosius“ susieja kitaip, arba trūkstamos prieigos teisės visi baigiasi čia. Serverio pažymėtas NO atsakymas yra įrodymas, ir tai ne tas pats atsakymas kaip atmestas slaptažodis.

TLS ateina prieš IMAP pokalbį

Su implicitiniu TLS 993 prievade TLS pasisveikinimas baigiamas prieš siunčiant bet kurią IMAP komandą, todėl sertifikato problema sukelia klaidą, kuri mini pasitikėjimą, o ne paštą. Pašto mazgo pavadinimas turi būti tikrinamas pagal sertifikatą taip pat kaip žiniatinklio mazgo pavadinimas; tunelis, kuris išsaugo srautą, nepadaro negaliojančio sertifikato galiojančiu.

Klaidos tekstas atskiria atvejus. Ryšio skirtasis laikas reiškia, kad SYN niekada nebuvo baigtas. TLS klaida reiškia, kad TCP ryšys veikė, o pasisveikinimas ne. IMAP NO arba BAD atsakymas reiškia, kad abu pavyko ir protokolo sluoksnis kažką atmetė. Užsirašykite, kurį matėte, prieš keisdami bet kokį nustatymą.

Talpykloje esantis paštas nieko neįrodo

Pašto klientas rodo anksčiau atsiųstus pranešimus nepriklausomai nuo to, ar šiandien pasieks serverį, todėl rodoma gautųjų dėžutė pasako tik tai, kad vietinė saugykla veikia. Bet koks tikras testas turi priversti serverio operaciją: atnaujinkite aplanką, gaukite pranešimą, kuris niekada nebuvo atsiųstas, arba nusiųskite komandą, kurią klientas duotų tik pasirinkęs pašto dėžutę.

Naudokite neardomą patikrą. Vieno aplanko atnaujinimas ir paskyros klaidų žurnalo skaitymas yra geriau nei paskyros ištrynimas ir pridėjimas iš naujo, kuris daugiausia įrodo, kad konfigūracijos ekranas vis dar veikia.

Siuntimas ir žiniatinklio paštas yra skirtingi protokolai

Pašto siuntimas yra pateikimas, o ne IMAP. Jis naudoja atskirą paslaugą ir paprastai atskirą prievadą su savo TLS režimu ir savo autentifikavimu, todėl veikianti siunčiamųjų dėžutė neįrodo, kad IMAP pašto dėžutė buvo pasirinkta, o sugedusi siunčiamųjų dėžutė nekaltina IMAP.

Žiniatinklio paštas vėl kitas. Jis gali pavykti per tą patį VPN, nes tai HTTPS sesija su žiniatinklio priekine dalimi, kas nieko nesako apie darbalaukio kliento IMAP mazgą, prievadą ar TLS režimą.

Perdavimui užrašykite keturis rezultatus atskirai: VPN kelią, pašto galinio taško ir TLS rezultatą, paskyros autentifikavimo rezultatą ir pašto dėžutės pasirinkimo rezultatą. Laikykite prisijungimo duomenis ir pranešimų turinį už pastabos ribų. Šis įrašas pasako kitam žmogui, ar pataisa priklauso tinklui, sertifikatui, paskyrai ar aplankų konfigūracijai, nesusilpnindamas nė vieno apsaugos sluoksnio.