Il-posta tasal fis-server mingħajr VPN: fejn għandha tiġi infurzata r-regola

Il-posta tibqa’ tistaqsi u l-VPN mitfija, iżda l-kont xorta jiġi sinkronizzat. L-app qed tagħmel dak li ġiet konfigurata għalih; xejn fi profil tal-posta normali ma jgħid li s-server jintlaħaq biss permezz tat-tunnel. Dan iħalli żewġ rekwiżiti differenti, u huwa faċli li jitħalltu: is-servizz għandu jirrifjuta klijenti diretti, jew il-Mac m’għandux jagħmel it-tentattiv.

Agħżel ir-rekwiżit qabel ma tagħżel prodott. Regola tas-server u regola tal-klijent ifallu f’postijiet differenti, jipproduċu provi differenti u jappartjenu lil sidien differenti. L-applikazzjoni tat-tnejn hija valida meta ż-żewġ stqarrijiet huma veri, iżda waħda mhijiex sostitut għall-oħra. Iż-żewġ rekwiżiti huma leġittimi; sempliċement mhumiex l-istess kontroll.

Is-sintomu jidher bħall-Mac, iżda s-server jista’ jkun it-tnixxija

Meta l-posta tiġi sinkronizzata barra mit-tunnel, ibda minn dak li s-server jaċċetta. Jekk is-semmiegħ tal-posta jwieġeb għal konnessjoni diretta mill-internet, l-ebda setting tal-kumdità fuq in-naħa tal-klijent ma jbiddel dan il-fatt. Il-Mac iġib ruħu b’mod normali lejn servizz li għadu miftuħ.

Staqsi lill-amministratur tal-posta liema indirizz tas-sors is-servizz jara. Gateway VPN, proxy invers jew bilanċjatur tat-tagħbija jistgħu jittraduċu l-indirizz tal-klijent, għalhekk il-pool tal-indirizzi fil-konfigurazzjoni tal-VPN jista’ ma jaqbilx ma’ dak li jasal fil-proċess tal-posta. Regola miktuba kontra s-sors żbaljat jew tippblokka lil kulħadd jew ma tippblokka lil ħadd.

Dik it-tweġiba tgħid ukoll jekk is-servizz jistax jiddistingwi lill-klijenti VPN xejn. Jekk kull klijent jasal permezz tal-istess indirizz tal-proxy, l-ammissjoni bbażata fuq is-sors ma tistax tifridhom, u r-rekwiżit irid jiġi mċaqlaq għall-awtentikazzjoni jew għan-naħa tal-klijent.

Ammissjoni fis-server: irrifjuta s-sors, mhux l-app

Firewall tal-host jew tan-netwerk jista’ jillimita s-semmiegħ tal-posta għal firxiet tas-sors approvati filwaqt li jħalli l-awtentikazzjoni u t-TLS mingħajr bidla. Kundizzjoni tar-regola li taqbel ma’ indirizzi remoti, subnets jew firxiet hija l-blokka tal-bini tas-soltu; is-sintassi eżatta tappartjeni għall-prodott tal-firewall tas-server, mhux għall-app tal-posta.

Dan huwa l-aktar limitu b’saħħtu meta r-rekwiżit huwa «is-servizz m’għandux iservi klijenti diretti». Dan idum anki jekk l-utent jinstalla klijent tal-posta ieħor, għax ir-rifjut iseħħ qabel l-awtentikazzjoni. Dan jgħaddi wkoll minn Mac li jinjora l-politika tal-VPN tiegħu.

Il-limitu tiegħu huwa ugwalment importanti. Konnessjoni miċħuda turi li s-servizz irrifjuta s-sessjoni; ma turix li l-Mac ma għamel l-ebda tentattiv. Riżoluzzjoni DNS, TCP SYN lejn bilanċjatur tat-tagħbija preċedenti u tentattiv mill-ġdid wara falliment jistgħu kollha jseħħu qabel ma tintlaħaq ir-regola tas-server. Jekk ir-rekwiżit huwa dwar l-iżvelar ta’ tentattivi u mhux dwar l-aċċess, l-ammissjoni fis-server hija biss nofs il-kontroll.

Infurzar fuq il-klijent: imblokka t-tentattiv, mhux biss it-tunnel

Regola fuq in-naħa tal-klijent trid tipprojbixxi t-traffiku, mhux biss tibda tunnel meta l-posta tinfetaħ. Xprun tal-attivazzjoni għal dominju tal-posta jista’ jgħolli l-VPN fil-mument it-tajjeb, iżda ma jiddefinixxix x’jiġri waqt li t-tunnel ikun mitfi jew wara li jfalli.

Uża l-politika tal-imblukkar appoġġata mill-prodott tal-punt tat-tarf u ifforma l-ambitu tagħha b’mod deliberat. Regola fil-livell tal-app tkopri kull kont f’dik l-app tal-posta, inklużi dawk personali. Regola fil-livell tad-destinazzjoni trid issemmi l-punti tat-tarf IMAP, tal-bgħit u tal-awtentikazzjoni tal-kont tax-xogħol, u trid tkompli taħdem meta dawk l-indirizzi jinbidlu.

Kopri ż-żewġ familji tal-indirizzi u s-sessjonijiet eżistenti. Politika li timblokka konnessjonijiet IPv4 ġodda filwaqt li tħalli IPv6 jew socket stabbilit tipproduċi sinkronizzazzjonijiet intermittenti li jidhru każwali. Bidliet fin-netwerk u ċikli tal-irqad huma parti mill-istess test.

Regoli fil-livell tal-app u tad-destinazzjoni għandhom ambitu differenti

Imblukkar fil-livell tal-app huwa sempliċi biex wieħed jaħseb dwaru: l-ebda traffiku mill-Posta ma joħroġ mingħajr it-tunnel. Huwa wkoll goff, għax l-istess app tista’ żżomm kont personali li m’għandu x’jaqsam xejn mal-politika. L-utenti jinnotaw dan l-ewwel u jirrappurtawh bħala app tal-posta miksura.

Imblukkar fil-livell tad-destinazzjoni huwa iżjed dejjaq u iżjed diffiċli biex jinżamm. Jeħtieġ is-sett sħiħ tal-punti tat-tarf li juża l-kont, inklużi s-servizzi tal-iskoperta u tal-awtentikazzjoni, u proċess biex jiġu aġġornati. Wieħed jonqos u l-kont jaħdem nofsu; iddaħħal wisq u l-posta mhux relatata tieqaf.

Agħżel skont il-kliem tar-rekwiżit. «Dan il-kont tax-xogħol m’għandux jgħaqqad direttament» jindika l-ambitu tad-destinazzjoni. «Dan il-Mac m’għandux imexxi l-posta barra mill-VPN» jiġġustifika r-regola tal-app iżjed wiesgħa, sakemm is-sid jaċċetta l-effett sekondarju fuq il-kont personali.

Ittesta r-rifjut u n-nuqqas separatament

B’kont tal-prova iddedikat, qabbad permezz tal-VPN u kkonferma t-tħaddim normali. Imbagħad aqta’ u ittesta darbtejn: darba biex tara jekk is-server jirrifjutax id-dħul, u darba biex tara jekk il-Mac jagħmel xi tentattiv ta’ konnessjoni. Dawn huma osservazzjonijiet differenti u jappartjenu lil logs differenti.

Hares lejn il-provi fuq in-naħa tal-klijent għal SYN jew mistoqsija DNS waqt li tkun skonnettjat, u lejn il-log tas-server għal sessjoni miċħuda jew aċċettata. Jekk is-server jirrifjuta iżda l-klijent xorta jipprova, ir-regola tas-server taħdem u r-regola tal-klijent hija nieqsa. Jekk il-klijent ma jagħmel l-ebda tentattiv iżda s-server xorta jaċċetta klijenti oħra, il-limitu huwa eżattament fejn poġġejtu.

Irreġistra s-sid tal-infurzar, l-indirizz tas-sors li s-server verament jara, u l-kont tal-prova użat. Il-bidla li jmiss fin-netwerk jew fil-proxy tista’ ċċaqlaq dak is-sors, u nota li ssemmi l-valur osservat tiġi vverifikata iżjed malajr minn rawnd ieħor ta’ tħassib.