Nakarating ang mail sa server nang walang VPN: saan ipatutupad ang panuntunan

Patuloy na nagtatanong ang mail at patay ang VPN, ngunit nagsi-sync pa rin ang account. Ginagawa ng app ang itinakda para sa kanya; walang anumang nakasaad sa normal na mail profile na maaabot ang server sa pamamagitan lamang ng tunnel. Nag-iiwan iyon ng dalawang magkaibang pangangailangan, at madaling paghaluin ang mga ito: dapat tanggihan ng serbisyo ang direktang kliyente, o hindi dapat subukan ng Mac.

Piliin ang pangangailangan bago pumili ng produkto. Nabibigo ang panuntunan ng server at panuntunan ng kliyente sa magkaibang lugar, gumagawa ng magkaibang ebidensya at pag-aari ng magkaibang may-ari. Ang paggamit ng dalawa ay wasto kapag totoo ang dalawang pahayag, ngunit hindi kapalit ng isa ang isa. Ang dalawang pangangailangan ay lehitimo; hindi lamang sila ang parehong kontrol.

Mukhang Mac ang sintomas, ngunit ang server ang maaaring tagas

Kapag nag-sync ang mail sa labas ng tunnel, magsimula sa kung ano ang tinatanggap ng server. Kung sinasagot ng tagapakinig ng mail ang direktang koneksyon mula sa internet, walang setting ng kaginhawahan sa panig ng kliyente ang nagbabago sa katotohanang iyon. Kumikilos nang normal ang Mac sa isang serbisyong bukas pa.

Tanungin ang administrator ng mail kung aling source address ang nakikita ng serbisyo. Maaaring isalin ng VPN gateway, reverse proxy o load balancer ang address ng kliyente, kaya maaaring hindi tumugma ang pool ng address sa configuration ng VPN sa dumarating sa proseso ng mail. Ang panuntunang isinulat laban sa maling source ay humaharang sa lahat o wala.

Sinasabi rin ng sagot na iyon kung kayang makilala ng serbisyo ang mga kliyente ng VPN. Kung ang bawat kliyente ay dumarating sa parehong proxy address, hindi sila maihihiwalay ng pagtanggap batay sa source, at kailangang ilipat ang pangangailangan sa authentication o sa panig ng kliyente.

Pagtanggap sa server: tanggihan ang source, hindi ang app

Maaaring limitahan ng firewall ng host o network ang tagapakinig ng mail sa mga aprubadong saklaw ng source habang hindi binabago ang authentication at TLS. Ang kondisyon ng panuntunang tumutugma sa malalayong address, subnet o saklaw ay ang karaniwang bloke ng gusali; ang eksaktong syntax ay pag-aari ng produkto ng firewall ng server, hindi ng mail app.

Ito ang pinakamalakas na hangganan kapag ang pangangailangan ay «hindi dapat maglingkod ang serbisyo sa direktang kliyente». Naninindigan ito kahit mag-install ang gumagamit ng ibang mail client, dahil nangyayari ang pagtanggi bago ang authentication. Nakaligtas din ito sa isang Mac na binabalewala ang patakaran nito sa VPN.

Ang hangganan nito ay kasinghalaga. Ang tinanggihang koneksyon ay nagpapatunay na tinanggihan ng serbisyo ang session; hindi nito pinatutunayan na walang sinubukan ang Mac. Ang paglutas ng DNS, TCP SYN patungo sa naunang load balancer at muling pagsubok pagkatapos ng pagkabigo ay maaaring mangyari bago maabot ang panuntunan ng server. Kung ang pangangailangan ay tungkol sa paglalantad ng mga pagsubok at hindi sa pag-access, kalahati lamang ng kontrol ang pagtanggap sa server.

Pagpapatupad sa kliyente: harangin ang pagsubok, hindi lang ang tunnel

Dapat ipagbawal ng panuntunan sa panig ng kliyente ang trapiko, hindi lamang magsimula ng tunnel kapag binuksan ang mail. Maaaring itaas ng activation trigger para sa isang mail domain ang VPN sa tamang sandali, ngunit hindi nito tinutukoy kung ano ang mangyayari habang patay ang tunnel o pagkatapos itong mabigo.

Gamitin ang sinusuportahang patakaran ng pagharang ng endpoint product at sadyang tukuyn ang saklaw nito. Sinasaklaw ng panuntunan sa antas ng app ang bawat account sa mail app na iyon, kabilang ang mga personal. Kailangang pangalanan ng panuntunan sa antas ng destinasyon ang IMAP, pagpapadala at authentication endpoint ng work account, at kailangan itong patuloy na gumana kapag nagbago ang mga address na iyon.

Saklawin ang parehong pamilya ng address at ang mga umiiral na session. Ang patakarang humaharang sa mga bagong koneksyon ng IPv4 habang hinahayaang tahimik ang IPv6 o isang itinatag na socket ay gumagawa ng pana-panahong pag-sync na tila random. Ang mga pagbabago sa network at mga yugto ng pagtulog ay bahagi ng parehong pagsubok.

Magkaiba ang saklaw ng epekto ng mga panuntunan sa antas ng app at destinasyon

Ang pagharang sa antas ng app ay madaling isipin: walang trapikong lumalabas mula sa Mail nang walang tunnel. Ito rin ay magaspang, dahil ang parehong app ay maaaring may personal na account na walang kaugnayan sa patakaran. Napansin ito ng mga gumagamit at iniuulat ito bilang sirang mail app.

Ang pagharang sa antas ng destinasyon ay mas makitid at mas mahirap panatilihin. Kailangan nito ang buong set ng endpoint na ginagamit ng account, kabilang ang mga serbisyo ng pagtuklas at authentication, at isang proseso para i-update ang mga ito. Kapag may kulang, kalahati lang ang gumagana ng account; kapag masyadong marami ang isinama, humihinto ang walang kaugnayang mail.

Pumili ayon sa pananalita ng pangangailangan. «Hindi dapat direktang kumonekta ang work account na ito» ay tumutukoy sa saklaw ng destinasyon. «Hindi dapat magpatakbo ng mail ang Mac na ito sa labas ng VPN» ay nagbibigay-katwiran sa mas malawak na panuntunan ng app, sa kondisyon na tinatanggap ng may-ari ang side effect sa personal na account.

Subukan nang hiwalay ang pagtanggi at ang kawalan

Sa isang nakalaang test account, kumonekta sa pamamagitan ng VPN at kumpirmahin ang normal na operasyon. Pagkatapos ay idiskonekta at subukan nang dalawang beses: isang beses upang makita kung tinatanggihan ng server ang pag-login, at isang beses upang makita kung may sinusubukang koneksyon ang Mac. Magkaibang obserbasyon ang mga ito at kabilang sila sa magkaibang log.

Panoorin ang ebidensya sa panig ng kliyente para sa SYN o DNS query habang nakadiskonekta, at ang log ng server para sa tinanggihan o tinanggap na session. Kung tumatanggi ang server ngunit patuloy na sumusubok ang kliyente, gumagana ang panuntunan ng server at kulang ang panuntunan ng kliyente. Kung hindi sumusubok ang kliyente ngunit tumatanggap pa rin ng ibang kliyente ang server, ang hangganan ay eksaktong kung saan mo ito inilagay.

Itala ang may-ari ng pagpapatupad, ang source address na talagang nakikita ng server at ang ginamit na test account. Maaaring ilipat ng susunod na pagbabago sa network o proxy ang source na iyon, at ang tala na nagpapangalan sa naobserbahang halaga ay mas mabilis suriin kaysa sa isa pang pag-ikot ng hula.