Pasts darbojas bez VPN: vai tas slepus iet caur tuneli?
Exchange konts neizvēlas vārteju, protokolu vai maršrutu. Pirms pieņēmumu izdarīšanas nosakiet izvietojumu, publisko ieeju, pārvaldīto VPN vai aktīvo tuneli.
Pasts turpina pienākt telefonā, kas nekad nav parādījis VPN ikonu, un dabiskais secinājums ir, ka kaut kas neredzams to laiž caur tuneli. Parasti nekas neredzams tajā nepiedalās. Exchange konta pievienošana neizvēlas vārteju, protokolu, sertifikātu vai maršrutu, jo konts ir pakalpojuma identitāte, bet tunelis ir tīkla kārtojums, ko konfigurējis kāds cits. Noderīgs solis ir noteikt, kāds kārtojums jums patiešām ir, nevis meklēt tuneli, kura nekad nav bijis.
Trīs kārtojumi, viens identisks ekrāns
Visi trīs beidzas ar to, ka pasts parādās ierīcē, un iestatījumu ekrāns visos gadījumos izskatās vienādi. Atšķiras tas, kas konfigurēja ceļu un kādi pierādījumi apstiprina, ka tas pastāv.
| Arrangement | Who set it up | What proves it |
|---|---|---|
| Approved public mail entry | The service owner, at the publishing layer | A published endpoint reached over TLS with its own authentication |
| Managed app or account VPN | Device management, as explicit policy | A profile binding that traffic to a VPN association |
| Already active tunnel | An always-on service or an earlier manual connect | Tunnel state plus routes and scope that include the mail destination |
Publiskā sasniedzamība ir pelnījusi savu teikumu, jo tā tiek pastāvīgi pārprasta. Publicēts pasta pakalpojums nav pakalpojums bez autentifikācijas, un tas, ka pasts ir sasniedzams, neko nepasaka par pārējā uzņēmuma tīkla sasniedzamību. Tie ir atsevišķi lēmumi, ko pieņem atsevišķi cilvēki.
Ko ierīču pārvaldība patiešām var piesaistīt
Apple platformas atbalsta VPN noteikumus katram lietojumam un pasta domēnam, un pārvaldītais iOS vai iPadOS pasts var saturēt kontam raksturīgu VPN asociāciju. Šī asociācija ir nodrošināšanas iestatījums ar vērtību, ko kāds izvēlējās, un tieši tāpēc to nevar secināt, ievadot tālrunī e-pasta adresi un paroli.
Android pārvaldībai un trešo pušu klientiem ir savas lietotņu un profilu vadīklas, un neviena no tām nav aizstājama ar Apple konta komplektiem. Politika, kas pastāv vienā platformā, ir apzināti jāatkārto citā. Tā neceļo kopā ar pasta kontu un neparādās tāpēc, ka viena un tā pati persona ir pieteikusies abos. Gaidīšana, ka šī pārnese notiks pati no sevis, slēpjas aiz lielas daļas starpplatformu ziņojumu «man telefonā tas strādā».
Identitāte un pārvade paliek atsevišķi
Pasta pakalpojums un VPN var likumīgi koplietot direktoriju vai identitātes nodrošinātāju, un cilvēki šo koplietoto pieteikšanos lasa kā kopīgas sesijas pierādījumu. Tas tā nav. Atkārtots lietotājvārda teksts neparāda, ka pasta lietotne ir mantojusi VPN sesiju, un tas nav iemesls katrai pakalpojumam izdomāt nesaistītas paroles.
Abi pakalpojumi pieprasa savu autentifikāciju ar saviem noteikumiem. Veiksmīgu pieteikšanos pastā nevajadzētu uzskatīt par kaut ko, ko ielīmēt VPN klientā, un pacelts tunelis neko nepasaka par to, kuru kontu pieņems pasta serveris. Atsauce uz Intune pasta profilu šeit ir noderīgs piemērs, jo tā VPN asociāciju uzskata par atsevišķu iestatījumu, nevis īpašību, kas atvasināta no konta nosaukuma.
Svaiga sinhronizācija pārspēj kešatmiņā saglabātu pastkasti
Kešatmiņā saglabāta pastkaste var izskatīties pilnīgi vesela bez jebkāda pašreizēja ceļa, tāpēc lietotnes atvēršana un pagājušās nedēļas ziņu redzēšana neko nepierāda. Izmantojiet apstiprinātu svaigas sinhronizācijas testu un izlasiet ar to saistītos statusa vai žurnāla pierādījumus.
Pēc tam pārbaudiet četras lietas, kas patiešām nosaka iznākumu: konfigurēto pakalpojuma galapunktu, ko atgriež atrisinātājs, kurš pārvaldītais profils attiecas un pašreizējo VPN stāvokli. Dariet to pareizajā kontekstā, jo personīga pasta lietotne ar līdzīgu nosaukumu nav pakļauta darba lietotnes tīkla politikai un uzvedīsies citādi pilnīgi likumīgu iemeslu dēļ. Šo divu kontekstu sajaukšana ir veids, kā strādājoša konfigurācija tiek ziņota kā salauzta. Tas izskaidro arī lielāko daļu gadījumu, kad viena lietotne pakļaujas politikai, bet tās gandrīz nosaukuma brālis to ignorē.
Pierakstiet, ko pārbaudījāt
Ja piekļuvei būtu jāprasa tunelis, īpašniekam jāapstiprina gan atļautais privātais ceļš, gan uzvedība bez tā. Ja pakalpojums ir apzināti publicēts, saglabājiet tā TLS validāciju, autentifikāciju un piekļuves kontroli, nevis uzskatiet tuneļa neesamību par pierādījumu, ka pasts nav šifrēts.
Atbalsta ierakstā jānorāda pasta produkts, galapunkts, konta apjoms un savienojuma politika. Vienādas paroles nav pierādījums ne par vienu no šiem četriem, un tas ir visbiežākais iemesls, kāpēc pieteikumā ir četras rindkopas un neviens fakts.