Pasts sasniedz serveri bez VPN: kur piemērot noteikumu

Pasts turpina vaicāt, un VPN ir izslēgts, taču konts joprojām sinhronizējas. Lietotne dara to, kam tā konfigurēta; nekas parastā pasta profilā nesaka, ka serveris ir sasniedzams tikai caur tuneli. Tas atstāj divas atšķirīgas prasības, un tās ir viegli sajaukt: pakalpojumam jāatsaka tiešie klienti, vai arī Mac nedrīkst vispār mēģināt.

Izvēlieties prasību pirms produkta izvēles. Servera noteikums un klienta noteikums cieš neveiksmi dažādās vietās, sniedz dažādus pierādījumus un pieder dažādiem īpašniekiem. Abu piemērošana ir derīga, ja abi apgalvojumi ir patiesi, taču viens neaizstāj otru. Abas prasības ir likumīgas; tās vienkārši nav viena un tā pati kontrole.

Simptoms izskatās kā Mac, bet noplūde var būt serverī

Kad pasts sinhronizējas ārpus tuneļa, sāciet ar to, ko serveris pieņem. Ja pasta klausītājs atbild uz tiešu savienojumu no interneta, neviens klienta puses ērtības iestatījums šo faktu nemaina. Mac uzvedas normāli pret pakalpojumu, kas joprojām ir atvērts.

Pajautājiet pasta administratoram, kādu avota adresi pakalpojums redz. VPN vārteja, reversais starpniekserveris vai slodzes līdzsvarotājs var pārtulkot klienta adresi, tāpēc VPN konfigurācijas adrešu kopums var nesakrist ar to, kas nonāk pasta procesā. Noteikums, kas rakstīts pret nepareizo avotu, bloķē visus vai nebloķē nevienu.

Šī atbilde arī pasaka, vai pakalpojums vispār spēj atšķirt VPN klientus. Ja katrs klients ierodas caur to pašu starpniekservera adresi, uz avotu balstīta uzņemšana tos nevar atdalīt, un prasība ir jāpārceļ uz autentifikāciju vai uz klienta pusi.

Uzņemšana serverī: atsakiet avotu, nevis lietotni

Resursdatora vai tīkla ugunsmūris var ierobežot pasta klausītāju ar apstiprinātiem avota diapazoniem, atstājot autentifikāciju un TLS nemainītus. Noteikuma nosacījums, kas atbilst attālinātām adresēm, apakštīkliem vai diapazoniem, ir ierastais būvelements; precīzā sintakse pieder servera ugunsmūra produktam, nevis pasta lietotnei.

Šī ir visspēcīgākā robeža, kad prasība ir „pakalpojums nedrīkst apkalpot tiešos klientus“. Tā pastāv arī tad, ja lietotājs instalē citu pasta klientu, jo atteikums notiek pirms autentifikācijas. Tā arī pārdzīvo Mac, kas ignorē savu VPN politiku.

Tās ierobežojums ir tikpat svarīgs. Noraidīts savienojums pierāda, ka pakalpojums atteica sesiju; tas nepierāda, ka Mac nav mēģinājis. DNS atrisināšana, TCP SYN uz agrāku slodzes līdzsvarotāju un atkārtots mēģinājums pēc neveiksmes var notikt pirms servera noteikuma sasniegšanas. Ja prasība attiecas uz mēģinājumu atklāšanu, nevis piekļuvi, uzņemšana serverī ir tikai puse no kontroles.

Izpilde klientā: bloķējiet mēģinājumu, ne tikai tuneli

Klienta puses noteikumam jāaizliedz trafiks, nevis tikai jāpalaiž tunelis, kad pasts tiek atvērts. Pasta domēna aktivizācijas trigeris var pacelt VPN īstajā brīdī, taču tas nenosaka, kas notiek, kamēr tunelis ir izslēgts vai pēc tā neveiksmes.

Izmantojiet gala punkta produkta atbalstīto bloķēšanas politiku un apzināti nosakiet tās apjomu. Lietotnes līmeņa noteikums aptver katru kontu šajā pasta lietotnē, tostarp personīgos. Galamērķa līmeņa noteikumam jānosauc darba konta IMAP, sūtīšanas un autentifikācijas gala punkti, un tam jāturpina darboties, kad šīs adreses mainās.

Aptveriet abas adrešu saimes un esošās sesijas. Politika, kas bloķē jaunus IPv4 savienojumus, bet atstāj IPv6 vai izveidotu ligzdu miera stāvoklī, rada pārtrauktu sinhronizāciju, kas izskatās nejauša. Tīkla izmaiņas un miega cikli ir tā paša testa daļa.

Lietotnes un galamērķa līmeņa noteikumiem ir atšķirīgs ietekmes apjoms

Lietotnes līmeņa bloķēšana ir viegli saprotama: neviens trafiks no Pasta neiziet bez tuneļa. Tā ir arī rupja, jo tajā pašā lietotnē var būt personīgs konts, kam ar politiku nav nekāda sakara. Lietotāji to pamanījuši pirmie un ziņo par to kā par salauztu pasta lietotni.

Galamērķa līmeņa bloķēšana ir šaurāka un grūtāk uzturama. Tai vajadzīgs viss gala punktu kopums, ko konts izmanto, tostarp atklāšanas un autentifikācijas pakalpojumi, un process to atjaunināšanai. Viens pietrūkst, un konts strādā pa pusei; iekļauj pārāk daudz, un nesaistīts pasts apstājas.

Izvēlieties pēc prasības formulējuma. «Šim darba kontam nav jāpieslēdzas tieši» norāda uz galamērķa apjomu. «Šim Mac nav jādarbina pasts ārpus VPN» attaisno plašāko lietotnes noteikumu, ja īpašnieks pieņem personīgā konta blakusefektu.

Pārbaudiet atteikumu un neesamību atsevišķi

Ar īpašu testa kontu pieslēdzieties caur VPN un apstipriniet normālu darbību. Pēc tam atvienojieties un pārbaudiet divreiz: vienreiz, vai serveris atsaka pieteikšanos, un vienreiz, vai Mac vispār mēģina savienojumu. Tie ir dažādi novērojumi, un tie pieder dažādiem žurnāliem.

Vērojiet klienta puses pierādījumus par SYN vai DNS vaicājumu, kamēr esat atvienots, un servera žurnālu par noraidītu vai pieņemtu sesiju. Ja serveris atsaka, bet klients joprojām mēģina, servera noteikums darbojas, un klienta noteikuma trūkst. Ja klients nemēģina, bet serveris joprojām pieņem citus klientus, robeža ir tieši tur, kur jūs to nolikāt.

Pierakstiet izpildes īpašnieku, avota adresi, ko serveris patiešām redz, un izmantoto testa kontu. Nākamā tīkla vai starpniekservera izmaiņa var pārvietot šo avotu, un piezīme, kas nosauc novēroto vērtību, tiek pārbaudīta ātrāk nekā vēl viens minējumu aplis.