VPN je povezan, a IMAP se ne sinhronizira? Preverite te tri plasti

Povežite se s pisarniškim VPN, odprite poštnega odjemalca in opazujte, kako se prejeto poštno okno noče osvežiti, medtem ko se spletna pošta nalaga normalno. Običajna diagnoza je, da VPN prepušča promet, a blokira pošto, ali da se je geslo računa spremenilo. Obe ugibanji preskočita zgradbo tega, kar počne odjemalec IMAP. Doseganje gostitelja, dokončanje TLS, preverjanje pristnosti in izbira poštnega predala so štirje različni dogodki, VPN pa ima le prvega.

Mit: ena povezava pomeni eno prijavo

Prepričanje je, da je poštni predal dejansko odprt, ko tunel stoji in poštni strežnik odgovori. Ni. VPN zagotavlja pot do storitve; ne prijavi vas in ne izbere mape. Odjemalec lahko stoji pri četrtem od teh korakov s popolnoma delujočim tunelom in veljavnim geslom.

Prav v tej vrzeli v resnici živi večina poročil »IMAP ne deluje prek VPN«.

Tri stanja IMAP in kje se odjemalci ustavijo

IMAP določa nepreverjeno stanje, preverjeno stanje in izbrano stanje, ukazi pa so veljavni le v stanju, ki jih dovoljuje. Povezava se lahko začne tudi že preverjena, ko strežnik ponuja predhodno preverjanje pristnosti, zato odsotnost zahteve za geslo ničesar ne dokazuje. Izbira poštnega predala premakne sejo iz preverjenega v izbrano stanje in šele takrat imajo ukazi, ki delujejo na sporočila, cilj.

Odjemalec, ki se uspešno preveri in nato ne more izbrati nastavljene mape, bo videti kot napaka sinhronizacije, medtem ko se strežnik obnaša pravilno. Preimenovane mape, ponudnik, ki »prejeto pošto« preslika drugače, ali manjkajoče pravice dostopa vse končajo tukaj. Označen odgovor NO strežnika je dokaz in ni enak odgovor kot zavrnjeno geslo.

TLS pride pred pogovorom IMAP

Pri implicitnem TLS na vratih 993 se rokovanje TLS konča, preden je poslan kateri koli ukaz IMAP, zato težava s potrdilom ustvari napako, ki omenja zaupanje in ne pošte. Ime poštnega gostitelja je treba preveriti glede na potrdilo enako kot ime spletnega gostitelja; tunel, ki ohranja promet, ne naredi neveljavnega potrdila veljavnega.

Besedilo napake ločuje primere. Časovna omejitev povezave pomeni, da se SYN ni nikoli dokončal. Napaka TLS pomeni, da je povezava TCP delovala, rokovanje pa ne. Odgovor IMAP NO ali BAD pomeni, da sta oba uspela in da je protokolna plast nekaj zavrnila. Zapišite, katerega ste videli, preden spremenite katero koli nastavitev.

Predpomnjena pošta ni dokaz za nič

Poštni odjemalec prikazuje prej prenesena sporočila ne glede na to, ali danes doseže strežnik, zato prikazano prejeto poštno okno pove le, da lokalna shramba deluje. Vsak resničen preizkus mora vsiliti operacijo na strežniku: osvežite mapo, pridobite sporočilo, ki ni bilo nikoli preneseno, ali pošljite ukaz, ki bi ga odjemalec izdal šele po izbiri poštnega predala.

Uporabite neuničevalno preverjanje. Osvežitev ene mape in branje dnevnika napak računa je boljše od brisanja in ponovnega dodajanja računa, kar večinoma dokazuje le, da zaslon z nastavitvami še deluje.

Pošiljanje in spletna pošta sta različna protokola

Pošiljanje pošte je oddaja, ne IMAP. Uporablja ločeno storitev in običajno ločena vrata z lastnim načinom TLS in lastnim preverjanjem pristnosti, zato delujoča odhodna pošta ne dokazuje, da je bil izbran predal IMAP, in pokvarjena odhodna pošta ne obtožuje IMAP.

Spletna pošta je spet drugačna. Lahko uspe prek istega VPN, ker je seja HTTPS proti spletnemu vmesniku, kar ne pove ničesar o gostitelju IMAP, vratih ali načinu TLS namiznega odjemalca.

Za predajo zapišite štiri rezultate ločeno: pot VPN, rezultat poštne končne točke in TLS, rezultat preverjanja računa in rezultat izbire poštnega predala. Pripomočke in vsebino sporočil hranite zunaj zapisa. Ta zapis pove naslednji osebi, ali popravek spada k omrežju, potrdilu, računu ali konfiguraciji map, ne da bi pri tem oslabil katero od obeh zaščitnih plasti.