VPN је повезан, али IMAP се не синхронизује? Проверите ова три слоја

Повежите се на канцеларијски VPN, отворите поштански клијент и гледајте како пријемно сандуче одбија да се освежи док се веб-пошта учитава нормално. Уобичајена дијагноза је да VPN пропушта саобраћај али блокира пошту, или да је лозинка налога промењена. Обе претпоставке прескачу структуру онога што IMAP клијент ради. Долазак до хоста, завршетак TLS-а, аутентификација и избор поштанског сандучета су четири различита догађаја, а VPN поседује само први.

Мит: једна веза значи једна пријава

Уверење је да је поштанско сандуче фактички отворено чим је тунел подигнут и поштански сервер одговори. Није тако. VPN обезбеђује пут до услуге; не пријављује вас и не бира фасциклу. Клијент може стајати на четвртом од тих корака са потпуно исправним тунелом и важећом лозинком.

Управо у том јазу живи већина извештаја „IMAP не ради преко VPN-а“.

Три IMAP стања и где клијенти застају

IMAP дефинише неаутентификовано стање, аутентификовано стање и изабрано стање, а команде су важеће само у стању које их дозвољава. Веза може почети и већ аутентификована када сервер нуди претходну аутентификацију, па одсуство захтева за лозинку ништа не доказује. Избор поштанског сандучета премешта сесију из аутентификованог у изабрано стање, и тек тада команде које делују на поруке имају циљ.

Клијент који се успешно аутентификује, а затим не успе да изабере конфигурисану фасциклу, изгледаће као неуспех синхронизације док се сервер понаша исправно. Преименоване фасцикле, провајдер који другачије мапира „пријемно“, или недостајућа права приступа сви завршавају овде. Серверов означени NO одговор је доказ, и то није исти одговор као одбијена лозинка.

TLS долази пре IMAP разговора

Са имплицитним TLS-ом на порту 993, TLS руковање се завршава пре него што се пошаље било која IMAP команда, због чега проблем са сертификатом даје грешку која помиње поверење, а не пошту. Име поштанског хоста мора се валидирати према сертификату исто као име веб-хоста; тунел који чува саобраћај не чини неважећи сертификат важећим.

Текст грешке раздваја случајеве. Истек времена везе значи да SYN никада није завршен. TLS грешка значи да је TCP веза радила, а руковање није. IMAP NO или BAD одговор значи да су оба успела и да је протоколни слој нешто одбио. Забележите који сте од њих видели пре него што промените било коју поставку.

Кеширана пошта није доказ ничега

Поштански клијент приказује раније преузете поруке без обзира на то може ли данас да дође до сервера, па пријемно сандуче које се приказује говори вам само да локално складиште ради. Сваки прави тест мора да форсира операцију на серверу: освежите фасциклу, преузмите поруку која никада није преузета, или пошаљите команду коју би клијент издао тек након избора поштанског сандучета.

Користите недеструктивну проверу. Освежавање једне фасцикле и читање дневника грешака налога боље је од брисања и поновног додавања налога, што углавном доказује да екран подешавања још ради.

Слање и веб-пошта су различити протоколи

Слање поште је предаја, не IMAP. Оно користи одвојену услугу и обично одвојени порт са властитим TLS режимом и властитом аутентификацијом, па исправно сандуче за одлазну пошту не доказује да је IMAP сандуче изабрано, а неисправно сандуче за одлазну пошту не терети IMAP.

Веб-пошта је опет другачија. Она може успети преко истог VPN-а јер је HTTPS сесија према веб сучељу, што ништа не говори о IMAP хосту, порту или TLS режиму десктоп клијента.

За предају, запишите четири резултата одвојено: путању VPN-а, резултат поштанске крајње тачке и TLS-а, резултат аутентификације налога и резултат избора поштанског сандучета. Држите акредитиве и садржај порука изван белешке. Тај запис говори следећој особи да ли поправка припада мрежи, сертификату, налогу или конфигурацији фасцикли, без слабљења иједног заштитног слоја.