Pošta deluje brez VPN: ali gre na skrivaj skozi tunel?
Račun Exchange ne izbere prehoda, protokola ali poti. Preden karkoli domnevate, ugotovite uvedbo, javni vhod, upravljani VPN ali aktivni tunel.
Pošta še naprej prihaja na telefon, ki nikoli ni pokazal ikone VPN, in naravni sklep je, da jo nekaj nevidnega tunelira. Običajno pri tem ni vpleteno nič nevidno. Dodajanje računa Exchange ne izbere prehoda, protokola, potrdila ali poti, ker je račun identiteta storitve in tunel omrežna ureditev, ki jo je nastavil nekdo drug. Koristen korak je ugotoviti, kakšno ureditev v resnici imate, namesto da iščete tunel, ki ga nikoli ni bilo.
Tri ureditve, enak zaslon
Vse tri se končajo s pošto, ki se pojavi v napravi, in zaslon z nastavitvami je v vseh primerih videti enako. Razlika je v tem, kdo je nastavil pot in kateri dokaz potrjuje, da obstaja.
| Arrangement | Who set it up | What proves it |
|---|---|---|
| Approved public mail entry | The service owner, at the publishing layer | A published endpoint reached over TLS with its own authentication |
| Managed app or account VPN | Device management, as explicit policy | A profile binding that traffic to a VPN association |
| Already active tunnel | An always-on service or an earlier manual connect | Tunnel state plus routes and scope that include the mail destination |
Javna dosegljivost si zasluži svoj stavek, ker se nenehno bere napačno. Objavljena poštna storitev ni storitev brez preverjanja pristnosti, in dejstvo, da je pošta dosegljiva, ne pove ničesar o tem, ali je dosegljivo preostalo podjetniško omrežje. To so ločene odločitve, ki jih sprejemajo ločeni ljudje.
Kaj lahko upravljanje naprav v resnici poveže
Appleove platforme podpirajo pravila VPN za posamezne aplikacije in poštne domene, upravljana pošta v iOS ali iPadOS pa lahko nosi povezavo VPN, specifično za račun. Ta povezava je nastavitev zagotavljanja z vrednostjo, ki jo je izbral nekdo, in prav zato je ni mogoče sklepati iz vnosa e-poštnega naslova in gesla v telefon.
Upravljanje Android in odjemalci tretjih strani imajo svoje kontrolnike aplikacij in profilov, nobeden od njih pa ni zamenljiv z Appleovimi paketi računa. Politiko, ki obstaja na eni platformi, je treba namerno ponoviti na drugi. Ne potuje s poštnim računom in ne pride zato, ker se je ista oseba prijavila v oba. Pričakovanje, da se bo ta prenos zgodil sam od sebe, stoji za velikim delom medplatformskih poročil »meni na telefonu deluje«.
Identiteta in prenos ostaneta ločena
Poštna storitev in VPN si lahko zakonito delita imenik ali ponudnika identitete, ljudje pa to skupno prijavo berejo kot dokaz skupne seje. Ni tako. Ponavljajoče se besedilo uporabniškega imena ne kaže, da je poštna aplikacija podedovala sejo VPN, in ni razlog za izmišljanje nepovezanih gesel za vsako storitev.
Obe storitvi zahtevata lastno preverjanje pristnosti pod lastnimi pogoji. Uspešne prijave v pošto nikoli ne gre obravnavati kot nekaj, kar se prilepi v odjemalca VPN, in dvignjen tunel ne pove ničesar o tem, kateri račun bo poštni strežnik sprejel. Sklicevanje na poštni profil Intune je tu koristna ponazoritev, ker povezavo VPN obravnava kot ločeno nastavitev in ne kot lastnost, izpeljano iz imena računa.
Sveža sinhronizacija premaga predpomnjeno mapo
Predpomnjena mapa je lahko videti popolnoma zdrava brez kakršne koli trenutne poti, zato odpiranje aplikacije in ogled sporočil prejšnjega tedna ne dokaže ničesar. Uporabite odobren test sveže sinhronizacije in preberite dokaze o stanju ali dnevniku, ki so priloženi.
Nato preverite štiri stvari, ki v resnici določajo izid: konfigurirano končno točko storitve, kaj vrne razreševalnik, kateri upravljani profil velja in trenutno stanje VPN. Naredite to v pravem kontekstu, ker osebna poštna aplikacija s podobnim imenom ne spada pod omrežno politiko delovne aplikacije in se bo obnašala drugače iz povsem legitimnih razlogov. Mešanje teh dveh kontekstov je način, kako se delujoča konfiguracija prijavi kot pokvarjena. Pojasnjuje tudi večino primerov, ko ena aplikacija upošteva politiko, njen skoraj soimenjak pa jo ignorira.
Zapišite, kaj ste preverili
Če naj bi dostop zahteval tunel, naj lastnik potrdi dovoljeno zasebno pot in obnašanje brez nje. Če je storitev namerno objavljena, ohranite njeno preverjanje TLS, preverjanje pristnosti in nadzor dostopa, namesto da bi odsotnost tunela šteli za dokaz, da pošta ni šifrirana.
Zapis za podporo naj navaja poštni izdelek, končno točko, obseg računa in politiko povezave. Enaka gesla niso dokaz o nobeni od teh štirih stvari in to je najpogostejši razlog, da zahtevek vsebuje štiri odstavke in nobenega dejstva.