VPN je pripojená, ale IMAP sa nesynchronizuje? Skontrolujte tieto tri vrstvy

Pripojte sa k firemnej VPN, otvorte poštového klienta a sledujte, ako sa doručená pošta odmieta obnoviť, zatiaľ čo webmail sa načítava normálne. Zvyčajná diagnóza je, že VPN prepúšťa prevádzku, ale blokuje poštu, alebo že sa zmenilo heslo k účtu. Oba odhady preskakujú štruktúru toho, čo klient IMAP robí. Dosiahnutie hostiteľa, dokončenie TLS, overenie a výber poštovej schránky sú štyri rôzne udalosti a VPN vlastní len prvú z nich.

Mýtus: jedno pripojenie znamená jedno prihlásenie

Presvedčenie je, že keď tunel stojí a poštový server odpovedá, schránka je prakticky otvorená. Nie je. VPN poskytuje cestu k službe; neprihlasuje vás a nevyberá priečinok. Klient môže stáť pri štvrtom z týchto krokov s dokonale fungujúcim tunelom a platným heslom.

Práve v tejto medzere žije väčšina správ „IMAP cez VPN nefunguje“.

Tri stavy IMAP a kde klienti uviaznu

IMAP definuje neoverený stav, overený stav a vybraný stav a príkazy sú platné len v stave, ktorý ich povoľuje. Spojenie môže tiež začať už overené, keď server ponúka predbežné overenie, takže absencia výzvy na heslo nič nedokazuje. Výber poštovej schránky presúva reláciu z overeného do vybraného stavu a až potom majú príkazy pracujúce so správami cieľ.

Klient, ktorý sa úspešne overí a potom nedokáže vybrať nakonfigurovaný priečinok, bude vyzerať ako zlyhanie synchronizácie, hoci server sa správa správne. Premenované priečinky, poskytovateľ, ktorý mapuje „doručenú poštu“ inak, alebo chýbajúce prístupové práva končia všetky tu. Označená odpoveď NO od servera je dôkaz a nie je to tá istá odpoveď ako odmietnuté heslo.

TLS predchádza rozhovoru IMAP

Pri implicitnom TLS na porte 993 sa TLS handshake dokončí skôr, než sa odošle akýkoľvek príkaz IMAP, a preto problém s certifikátom vytvára chybu, ktorá spomína dôveru, nie poštu. Názov poštového hostiteľa sa musí overiť proti certifikátu rovnako ako názov webového hostiteľa; tunel, ktorý zachováva prevádzku, nerobí neplatný certifikát platným.

Text chyby oddeľuje prípady. Časový limit spojenia znamená, že SYN sa nikdy nedokončil. Chyba TLS znamená, že TCP spojenie fungovalo a handshake nie. Odpoveď IMAP NO alebo BAD znamená, že obe uspeli a protokolová vrstva niečo odmietla. Zapíšte, ktorú z nich ste videli, skôr než zmeníte akékoľvek nastavenie.

Pošta v medzipamäti nič nedokazuje

Poštový klient zobrazuje predtým stiahnuté správy bez ohľadu na to, či sa dnes dostane na server, takže zobrazená doručená pošta vám hovorí len to, že miestne úložisko funguje. Každý skutočný test musí vynútiť operáciu na serveri: obnovte priečinok, stiahnite správu, ktorá nikdy nebola stiahnutá, alebo pošlite príkaz, ktorý by klient vydal až po výbere schránky.

Použite nedestruktívnu kontrolu. Obnovenie jedného priečinka a prečítanie denníka chýb účtu je lepšie než vymazanie a opätovné pridanie účtu, čo väčšinou dokazuje len to, že obrazovka nastavení stále funguje.

Odosielanie a webmail sú rôzne protokoly

Odosielanie pošty je podanie, nie IMAP. Používa samostatnú službu a zvyčajne samostatný port s vlastným režimom TLS a vlastným overením, takže funkčná odchádzajúca schránka nedokazuje, že bola vybraná schránka IMAP, a nefunkčná odchádzajúca schránka neviní IMAP.

Webmail je zase iný. Môže uspieť cez tú istú VPN, pretože ide o reláciu HTTPS voči webovému rozhraniu, čo nič nehovorí o hostiteľovi IMAP, porte ani režime TLS desktopového klienta.

Pre odovzdanie si poznamenajte štyri výsledky oddelene: cestu VPN, výsledok poštového koncového bodu a TLS, výsledok overenia účtu a výsledok výberu poštovej schránky. Ponechajte prihlasovacie údaje a obsah správ mimo poznámky. Tento záznam povie ďalšiemu človeku, či oprava patrí sieti, certifikátu, účtu alebo konfigurácii priečinkov, bez oslabenia ktorejkoľvek ochrannej vrstvy.