E-mel berfungsi tanpa VPN: adakah ia melalui terowong secara rahsia?
Akaun Exchange tidak memilih gateway, protokol atau laluan. Kenal pasti penggunaan, pintu masuk awam, VPN terurus atau terowong aktif sebelum menganggap apa-apa.
E-mel terus tiba pada telefon yang tidak pernah menunjukkan ikon VPN, dan kesimpulan semula jadinya ialah sesuatu yang tidak kelihatan sedang menyalurkannya melalui terowong. Biasanya tiada apa yang tidak kelihatan terlibat. Menambah akaun Exchange tidak memilih gateway, protokol, sijil atau laluan, kerana akaun ialah identiti perkhidmatan dan terowong ialah susunan rangkaian yang dikonfigurasikan oleh orang lain. Langkah berguna ialah mengenal pasti susunan mana yang sebenarnya anda miliki, bukan mencari terowong yang tidak pernah wujud.
Tiga susunan, satu skrin yang sama
Ketiga-tiganya berakhir dengan e-mel muncul pada peranti, dan skrin tetapan kelihatan sama dalam setiap kes. Yang berbeza ialah siapa yang mengkonfigurasikan laluan dan bukti apa yang membuktikan kewujudannya.
| Arrangement | Who set it up | What proves it |
|---|---|---|
| Approved public mail entry | The service owner, at the publishing layer | A published endpoint reached over TLS with its own authentication |
| Managed app or account VPN | Device management, as explicit policy | A profile binding that traffic to a VPN association |
| Already active tunnel | An always-on service or an earlier manual connect | Tunnel state plus routes and scope that include the mail destination |
Kebolehcapaian awam wajar mendapat ayatnya sendiri, kerana ia sentiasa disalah baca. Perkhidmatan e-mel yang diterbitkan bukan perkhidmatan tanpa pengesahan, dan fakta bahawa e-mel boleh dicapai tidak mengatakan apa-apa tentang sama ada seluruh rangkaian korporat boleh dicapai. Itu keputusan berasingan yang dibuat oleh orang berasingan.
Apa yang sebenarnya boleh diikat oleh pengurusan peranti
Platform Apple menyokong peraturan VPN setiap aplikasi dan setiap domain e-mel, dan e-mel terurus dalam iOS atau iPadOS boleh membawa persatuan VPN khusus akaun. Persatuan itu ialah tetapan peruntukan dengan nilai yang dipilih oleh seseorang, dan itulah sebabnya ia tidak boleh disimpulkan dengan menaip alamat e-mel dan kata laluan ke dalam telefon.
Pengurusan Android dan klien pihak ketiga mempunyai kawalan aplikasi dan profil mereka sendiri, dan tiada satu pun daripadanya boleh ditukar ganti dengan muatan akaun Apple. Dasar yang wujud pada satu platform mesti dihasilkan semula secara sengaja pada platform lain. Ia tidak bergerak bersama akaun e-mel, dan ia tidak datang kerana orang yang sama log masuk ke kedua-duanya. Jangkaan bahawa pemindahan itu berlaku dengan sendirinya berada di belakang sebahagian besar laporan merentas platform «ia berfungsi pada telefon saya».
Identiti dan pengangkutan kekal berasingan
Perkhidmatan e-mel dan VPN boleh berkongsi direktori atau penyedia identiti secara sah, dan orang ramai membaca log masuk kongsi itu sebagai bukti sesi kongsi. Ia bukan begitu. Teks nama pengguna yang berulang tidak menunjukkan bahawa aplikasi e-mel mewarisi sesi VPN, dan ia bukan sebab untuk mencipta kata laluan tidak berkaitan bagi setiap perkhidmatan.
Kedua-dua perkhidmatan menuntut pengesahan mereka sendiri, mengikut syarat mereka sendiri. Log masuk e-mel yang berjaya tidak boleh dianggap sebagai sesuatu untuk ditampal ke dalam klien VPN, dan terowong yang naik tidak mengatakan apa-apa tentang akaun mana yang akan diterima oleh pelayan e-mel. Rujukan profil e-mel Intune ialah ilustrasi berguna di sini, kerana ia menganggap persatuan VPN sebagai tetapan berasingan dan bukan sifat yang diperoleh daripada nama akaun.
Penyegerakan baharu mengalahkan peti masuk yang dicache
Peti masuk yang dicache boleh kelihatan sempurna sihat tanpa sebarang laluan semasa, sebab itu membuka aplikasi dan melihat mesej minggu lepas tidak membuktikan apa-apa. Gunakan ujian penyegerakan baharu yang diluluskan dan baca bukti status atau log yang menyertainya.
Kemudian semak empat perkara yang benar-benar menentukan hasil: titik akhir perkhidmatan yang dikonfigurasikan, apa yang dikembalikan oleh penyelesai, profil terurus mana yang terpakai dan keadaan VPN semasa. Lakukan dalam konteks yang betul, kerana aplikasi e-mel peribadi dengan nama serupa tidak ditadbir oleh dasar rangkaian aplikasi kerja dan akan berkelakuan berbeza atas sebab yang sah sepenuhnya. Mencampurkan kedua-dua konteks itu ialah cara konfigurasi yang berfungsi dilaporkan sebagai rosak. Ia juga menjelaskan kebanyakan kes apabila satu aplikasi mematuhi dasar dan jiran yang hampir sama namanya mengabaikannya.
Catat apa yang anda sahkan
Jika akses dianggap memerlukan terowong, pemilik harus mengesahkan kedua-dua laluan peribadi yang dibenarkan dan tingkah laku tanpanya. Jika perkhidmatan itu diterbitkan secara sengaja, kekalkan pengesahan TLS, pengesahan dan kawalan aksesnya, bukannya menganggap ketiadaan terowong sebagai bukti bahawa e-mel tidak disulitkan.
Rekod sokongan harus menamakan produk e-mel, titik akhir, skop akaun dan dasar sambungan. Kata laluan yang sama bukan bukti bagi mana-mana daripada empat itu, dan itulah sebab paling biasa tiket mengandungi empat perenggan dan tiada fakta.