Поштата стигнува до серверот без VPN: каде да се примени правилото

Поштата продолжува да прашува, а VPN е исклучен, но сметката сѐ уште се синхронизира. Апликацијата го прави она за што е конфигурирана; ништо во нормален поштенски профил не кажува дека серверот е достапен само преку тунелот. Тоа остава два различни барања и лесно е да се збунат: услугата треба да ги одбие директните клиенти, или Mac воопшто не треба да се обиде.

Изберете го барањето пред да изберете производ. Правилото на серверот и правилото на клиентот паѓаат на различни места, даваат различни докази и припаѓаат на различни сопственици. Примената на двете е валидна кога двете тврдења се точни, но едното не го заменува другото. Двете барања се легитимни; само не се иста контрола.

Симптомот изгледа како Mac, но протекувањето може да е на серверот

Кога поштата се синхронизира надвор од тунелот, почнете со она што серверот го прифаќа. Ако слушателот на поштата одговара на директна врска од интернет, ниту едно поставување за удобност на страната на клиентот не го менува тој факт. Mac се однесува нормално кон услуга што сѐ уште е отворена.

Прашајте го администраторот на поштата кој изворен адрес го гледа услугата. VPN порта, обратен прокси или балансер на оптоварување можат да ја преведат адресата на клиентот, па базенот со адреси во конфигурацијата на VPN може да не се совпаѓа со она што пристигнува до поштенскиот процес. Правило напишано против погрешниот извор или блокира сите или не блокира никого.

Тој одговор исто така кажува дали услугата воопшто може да ги разликува VPN клиентите. Ако секој клиент доаѓа преку истата прокси адреса, приемот заснован на извор не може да ги одвои, и барањето мора да се премести на автентикација или на страната на клиентот.

Прием на серверот: одбијте го изворот, не апликацијата

Огнен ѕид на домаќин или мрежа може да го ограничи слушателот на поштата на одобрени изворни опсези, оставајќи ја автентикацијата и TLS непроменети. Услов на правило што се совпаѓа со оддалечени адреси, подмрежи или опсези е вообичаениот градежен блок; точната синтакса им припаѓа на производот за огнен ѕид на серверот, не на поштенската апликација.

Ова е најсилната граница кога барањето е „услугата не смее да ги услужува директните клиенти“. Таа стои дури и ако корисникот инсталира друг поштенски клиент, бидејќи одбивањето се случува пред автентикација. Таа исто така преживува Mac што ја игнорира својата VPN политика.

Нејзината граница е подеднакво важна. Одбиената врска докажува дека услугата ја одбила сесијата; таа не докажува дека Mac не се обидел. DNS решавањето, TCP SYN кон поранешен балансер на оптоварување и повторен обид по неуспех можат да се случат пред да се стигне до правилото на серверот. Ако барањето се однесува на откривање на обидите, а не на пристап, приемот на серверот е само половина од контролата.

Спроведување на клиентот: блокирајте го обидот, не само тунелот

Правилото на страната на клиентот мора да го забрани сообраќајот, а не само да стартува тунел кога се отвора поштата. Активациски тригер за поштенски домен може да го подигне VPN во вистинскиот момент, но не одредува што се случува додека тунелот е исклучен или откако ќе не успее.

Користете ја поддржаната политика за блокирање на производот за крајна точка и намерно ограничете го нејзиниот опсег. Правило на ниво на апликација опфаќа секоја сметка во таа поштенска апликација, вклучително личните. Правило на ниво на одредиште мора да ги именува IMAP, испраќање и автентикациски крајни точки на работната сметка, и мора да продолжи да работи кога тие адреси се менуваат.

Опфатете ги двете адресни семејства и постоечките сесии. Политика што блокира нови IPv4 врски, а ги остава IPv6 или воспоставениот сокет на мира, создава повремени синхронизации што изгледаат случајно. Мрежните промени и циклусите на спиење се дел од истиот тест.

Правилата на ниво на апликација и одредиште имаат различен опсег на влијание

Блокирањето на ниво на апликација е едноставно за размислување: ниту еден сообраќај од Пошта не излегува без тунелот. То е и грубо, бидејќи истата апликација може да држи лична сметка што нема никаква врска со политиката. Корисниците тоа прво го забележуваат и го пријавуваат како расипана поштенска апликација.

Блокирањето на ниво на одредиште е потесно и потешко за одржување. Му треба целиот сет крајни точки што ги користи сметката, вклучително услуги за откривање и автентикација, и процес за нивно ажурирање. Една недостига и сметката работи на половина; вклучете премногу и неповрзаната пошта запира.

Изберете според формулацијата на барањето. „Оваа работна сметка не смее да се поврзува директно“ укажува на опсегот на одредиште. „Овој Mac не смее да ја води поштата надвор од VPN“ го оправдува поширокото апликациско правило, под услов сопственикот да ја прифати несаканата последица за личната сметка.

Тестирајте го одбивањето и отсуството одделно

Со посветена тест сметка, поврзете се преку VPN и потврдете нормално работење. Потоа исклучете се и тестирајте двапати: еднаш за да видите дали серверот го одбива најавувањето, и еднаш за да видите дали Mac воопшто се обидува да се поврзе. Тоа се различни набљудувања и тие припаѓаат на различни дневници.

Гледајте ги доказите на страната на клиентот за SYN или DNS барање додека сте исклучени, и дневникот на серверот за одбиена или прифатена сесија. Ако серверот одбива, но клиентот сѐ уште се обидува, правилото на серверот работи, а правилото на клиентот недостасува. Ако клиентот не се обидува, но серверот сѐ уште прифаќа други клиенти, границата е точно таму каде што ја поставивте.

Запишете го сопственикот на спроведувањето, изворната адреса што серверот навистина ја гледа и користената тест сметка. Следната мрежна или прокси промена може да го премести тој извор, а белешката што ја именува набљудуваната вредност се проверува побргу од уште еден круг нагаѓања.