Pošta dosiahne server bez VPN: kde pravidlo presadiť

Pošta ďalej dopytuje a VPN je vypnutá, no účet sa stále synchronizuje. Aplikácia robí to, na čo bola nakonfigurovaná; nič v bežnom poštovom profile nehovorí, že server je dostupný len cez tunel. Zostávajú dve rôzne požiadavky a je ľahké ich zameniť: služba má odmietať priamych klientov, alebo Mac nemá vôbec skúšať.

Vyberte požiadavku skôr, než vyberiete produkt. Pravidlo servera a pravidlo klienta zlyhávajú na rôznych miestach, dávajú rôzne dôkazy a patria rôznym vlastníkom. Použiť obe je správne, keď platia obe tvrdenia, ale jedno nenahrádza druhé. Obe požiadavky sú legitímne; len to nie je tá istá kontrola.

Príznak vyzerá ako Mac, ale únik môže byť na serveri

Keď sa pošta synchronizuje mimo tunela, začnite tým, čo server prijíma. Ak poštový poslucháč odpovedá na priame pripojenie z internetu, žiadne klientske nastavenie pohodlia tento fakt nezmení. Mac sa správa normálne voči službe, ktorá je stále otvorená.

Opýtajte sa poštového správcu, akú zdrojovú adresu služba vidí. VPN brána, reverzný proxy alebo vyvažovač zaťaženia môžu prekladať adresu klienta, takže fond adries v konfigurácii VPN nemusí zodpovedať tomu, čo príde do poštového procesu. Pravidlo napísané proti nesprávnemu zdroju buď zablokuje všetkých, alebo nikoho.

Tá odpoveď tiež hovorí, či služba dokáže VPN klientov vôbec rozlíšiť. Ak každý klient prichádza cez rovnakú proxy adresu, prijatie podľa zdroja ich nemôže oddeliť a požiadavka sa musí presunúť na autentifikáciu alebo na stranu klienta.

Prijatie na serveri: odmietnite zdroj, nie aplikáciu

Firewall hostiteľa alebo siete môže obmedziť poštového poslucháča na schválené zdrojové rozsahy, pričom autentifikácia a TLS zostanú nezmenené. Podmienka pravidla, ktorá zodpovedá vzdialeným adresám, podsietiam alebo rozsahom, je obvyklý stavebný prvok; presná syntax patrí produktu firewallu servera, nie poštovej aplikácii.

Toto je najsilnejšia hranica, keď požiadavka znie „služba nesmie obsluhovať priamych klientov“. Drží aj vtedy, keď si používateľ nainštaluje iného poštového klienta, pretože odmietnutie prichádza pred autentifikáciou. Prežije aj Mac, ktorý ignoruje svoju VPN politiku.

Jej limit je rovnako dôležitý. Odmietnuté spojenie dokazuje, že služba reláciu odmietla; nedokazuje, že Mac sa vôbec nepokúsil. Preklad DNS, TCP SYN k skoršiemu vyvažovaču zaťaženia a opakovanie po zlyhaní sa môžu všetky odohrať pred dosiahnutím pravidla servera. Ak sa požiadavka týka zverejnenia pokusov a nie prístupu, prijatie na serveri je len polovica kontroly.

Vynútenie na klientovi: blokujte pokus, nielen tunel

Pravidlo na strane klienta musí prevádzku zakázať, nie len spustiť tunel pri otvorení pošty. Aktivačný spúšťač pre poštovú doménu môže VPN zdvihnúť v správnom okamihu, ale neurčuje, čo sa deje, kým tunel nebeží alebo po jeho zlyhaní.

Použite podporovanú politiku blokovania produktu koncového bodu a zámerne vymedzte jej rozsah. Pravidlo na úrovni aplikácie pokrýva každý účet v danej poštovej aplikácii, vrátane osobných. Pravidlo na úrovni cieľa musí pomenovať IMAP, odosielacie a autentifikačné koncové body pracovného účtu a musí fungovať aj vtedy, keď sa tieto adresy zmenia.

Pokryte obe rodiny adries a existujúce relácie. Politika, ktorá blokuje nové spojenia IPv4, ale IPv6 alebo nadviazaný socket necháva na pokoji, vytvára prerušované synchronizácie, ktoré vyzerajú náhodne. Zmeny siete a cykly spánku sú súčasťou toho istého testu.

Pravidlá na úrovni aplikácie a cieľa majú rôzny dosah

Blokovanie na úrovni aplikácie je jednoduché na uvažovanie: žiadna prevádzka z Pošty neodíde bez tunela. Je aj hrubé, pretože tá istá aplikácia môže mať osobný účet, ktorý s politikou nemá nič spoločné. Používatelia si to všimnú prví a nahlásia to ako pokazenú poštovú aplikáciu.

Blokovanie na úrovni cieľa je užšie a ťažšie na údržbu. Potrebuje celú množinu koncových bodov, ktoré účet používa, vrátane služieb zisťovania a autentifikácie, a proces ich aktualizácie. Jeden chýba a účet pracuje na polovicu; zahrnete príliš veľa a nesúvisiaca pošta sa zastaví.

Vyberajte podľa formulácie požiadavky. „Tento pracovný účet sa nesmie pripájať priamo“ ukazuje na rozsah cieľa. „Tento Mac nesmie prevádzkovať poštu mimo VPN“ odôvodňuje širšie pravidlo aplikácie, ak vlastník prijme vedľajší účinok na osobný účet.

Testujte odmietnutie a neprítomnosť oddelene

S vyhradeným testovacím účtom sa pripojte cez VPN a potvrďte normálnu prevádzku. Potom sa odpojte a testujte dvakrát: raz, či server odmieta prihlásenie, a raz, či sa Mac vôbec pokúša o spojenie. Sú to rôzne pozorovania a patria do rôznych záznamov.

Sledujte dôkazy na strane klienta pre SYN alebo dotaz DNS, kým ste odpojený, a záznam servera pre odmietnutú alebo prijatú reláciu. Ak server odmieta, ale klient sa stále pokúša, pravidlo servera funguje a pravidlo klienta chýba. Ak sa klient nepokúša, ale server stále prijíma iných klientov, hranica je presne tam, kde ste ju umiestnili.

Zapíšte vlastníka vynútenia, zdrojovú adresu, ktorú server skutočne vidí, a použitý testovací účet. Ďalšia zmena siete alebo proxy môže tento zdroj posunúť, a poznámka pomenúvajúca pozorovanú hodnotu sa kontroluje rýchlejšie než ďalšie kolo hádania.