VPN conectada mas o IMAP não sincroniza? Verifique estas três camadas

Ligue-se à VPN do escritório, abra o cliente de correio e observe a caixa de entrada recusar atualizar enquanto o webmail carrega normalmente. O diagnóstico habitual é que a VPN deixa passar o tráfego mas bloqueia o correio, ou que a palavra-passe da conta mudou. Ambas as suposições saltam a estrutura do que um cliente IMAP faz. Chegar ao anfitrião, concluir TLS, autenticar-se e selecionar uma caixa são quatro eventos diferentes, e a VPN só possui o primeiro.

O mito: uma ligação significa um início de sessão

A crença é que, assim que o túnel está de pé e o servidor de correio responde, a caixa de correio está efetivamente aberta. Não está. A VPN fornece um caminho até ao serviço; não inicia sessão por si e não seleciona uma pasta. Um cliente pode ficar no quarto desses passos com um túnel perfeitamente funcional e uma palavra-passe válida.

É nessa lacuna que vivem, na realidade, a maioria dos relatos de «IMAP não funciona com VPN».

Três estados IMAP, e onde os clientes encravam

O IMAP define um estado não autenticado, um estado autenticado e um estado selecionado, e os comandos só são válidos no estado que os permite. Uma ligação também pode começar já autenticada quando o servidor oferece pré-autenticação, pelo que a ausência de um pedido de palavra-passe não prova nada. Selecionar uma caixa de correio move a sessão de autenticada para selecionada, e só então os comandos que atuam sobre mensagens têm um alvo.

Um cliente que se autentica com sucesso e depois não consegue selecionar a pasta configurada parecerá uma falha de sincronização enquanto o servidor se comporta corretamente. Pastas renomeadas, um fornecedor que mapeia «caixa de entrada» de forma diferente ou permissões de acesso em falta acabam todos aqui. A resposta NO etiquetada do servidor é a evidência, e não é a mesma resposta que uma palavra-passe rejeitada.

TLS vem antes da conversa IMAP

Com TLS implícito na porta 993, o handshake TLS conclui-se antes de qualquer comando IMAP ser enviado, e é por isso que um problema de certificado produz um erro que menciona confiança e não correio. O nome do anfitrião de correio tem de validar contra o certificado tal como um nome de anfitrião web; um túnel que preserva o tráfego não torna válido um certificado inválido.

O texto do erro separa os casos. Um tempo limite de ligação significa que o SYN nunca foi concluído. Um erro TLS significa que a ligação TCP funcionou e o handshake não. Uma resposta IMAP NO ou BAD significa que ambos tiveram sucesso e que a camada de protocolo rejeitou algo. Anote qual viu antes de alterar qualquer definição.

Correio em cache não prova nada

Um cliente de correio mostra mensagens já descarregadas independentemente de hoje conseguir chegar ao servidor, por isso uma caixa de entrada que é apresentada só lhe diz que o armazenamento local funciona. Qualquer teste real tem de forçar uma operação no servidor: atualize uma pasta, obtenha uma mensagem que nunca foi descarregada ou envie um comando que o cliente só emitiria depois de selecionar a caixa de correio.

Use uma verificação não destrutiva. Atualizar uma pasta e ler o registo de erros da conta é melhor do que eliminar e voltar a adicionar a conta, o que sobretudo prova que o ecrã de configuração ainda funciona.

Envio e webmail são protocolos diferentes

Enviar correio é submissão, não IMAP. Usa um serviço separado e normalmente uma porta separada com o seu próprio modo TLS e a sua própria autenticação, por isso uma caixa de saída a funcionar não prova que a caixa IMAP foi selecionada, e uma caixa de saída avariada não incrimina o IMAP.

O webmail é novamente diferente. Pode funcionar na mesma VPN porque é uma sessão HTTPS contra um front-end web, o que não diz nada sobre o anfitrião IMAP, a porta ou o modo TLS do cliente de ambiente de trabalho.

Para uma passagem de testemunho, anote quatro resultados separadamente: o caminho da VPN, o resultado do endpoint de correio e TLS, o resultado da autenticação da conta e o resultado da seleção da caixa de correio. Mantenha as credenciais e o conteúdo das mensagens fora da nota. Esse registo diz à pessoa seguinte se a correção pertence à rede, ao certificado, à conta ou à configuração de pastas, sem enfraquecer nenhuma das duas camadas de proteção.