Thư đến được máy chủ mà không cần VPN: nơi nào phải thực thi quy tắc

Thư vẫn liên tục hỏi và VPN đang tắt, nhưng tài khoản vẫn đồng bộ. Ứng dụng đang làm đúng như được cấu hình; không có gì trong một hồ sơ thư thông thường nói rằng máy chủ chỉ đến được qua đường hầm. Điều đó để lại hai yêu cầu khác nhau, và rất dễ nhầm lẫn: dịch vụ phải từ chối máy khách trực tiếp, hoặc Mac không được thử chút nào.

Chọn yêu cầu trước khi chọn sản phẩm. Quy tắc phía máy chủ và quy tắc phía máy khách thất bại ở những nơi khác nhau, tạo ra bằng chứng khác nhau và thuộc về những người sở hữu khác nhau. Áp dụng cả hai là hợp lệ khi cả hai phát biểu đều đúng, nhưng cái này không thay thế cái kia. Cả hai yêu cầu đều chính đáng; chỉ là chúng không phải cùng một biện pháp kiểm soát.

Triệu chứng trông như ở Mac, nhưng máy chủ có thể là nơi rò rỉ

Khi thư đồng bộ ngoài đường hầm, hãy bắt đầu từ những gì máy chủ chấp nhận. Nếu trình lắng nghe thư trả lời một kết nối trực tiếp từ internet, không cài đặt tiện lợi nào ở phía máy khách thay đổi được sự thật đó. Mac đang hành xử bình thường với một dịch vụ vẫn còn mở.

Hỏi quản trị viên thư xem dịch vụ thấy địa chỉ nguồn nào. Cổng VPN, proxy ngược hoặc bộ cân bằng tải có thể dịch địa chỉ máy khách, nên nhóm địa chỉ trong cấu hình VPN có thể không khớp với những gì đến tiến trình thư. Một quy tắc viết nhằm sai nguồn hoặc chặn tất cả hoặc không chặn ai.

Câu trả lời đó cũng cho biết dịch vụ có phân biệt được máy khách VPN hay không. Nếu mọi máy khách đều đến qua cùng một địa chỉ proxy, việc chấp nhận dựa trên nguồn không thể tách họ ra, và yêu cầu phải chuyển sang xác thực hoặc sang phía máy khách.

Chấp nhận ở máy chủ: từ chối nguồn, không phải ứng dụng

Tường lửa của máy chủ hoặc của mạng có thể giới hạn trình lắng nghe thư vào các dải nguồn đã duyệt trong khi giữ nguyên xác thực và TLS. Điều kiện quy tắc khớp địa chỉ từ xa, mạng con hoặc dải là khối xây dựng thông thường; cú pháp chính xác thuộc về sản phẩm tường lửa của máy chủ, không phải ứng dụng thư.

Đây là ranh giới mạnh nhất khi yêu cầu là «dịch vụ không được phục vụ máy khách trực tiếp». Nó vẫn đứng vững kể cả khi người dùng cài một máy khách thư khác, vì việc từ chối diễn ra trước xác thực. Nó cũng chịu được một chiếc Mac bỏ qua chính sách VPN của mình.

Giới hạn của nó cũng quan trọng không kém. Một kết nối bị từ chối chứng minh dịch vụ đã từ chối phiên; nó không chứng minh Mac đã không thử. Phân giải DNS, một TCP SYN tới bộ cân bằng tải trước đó và một lần thử lại sau thất bại đều có thể xảy ra trước khi quy tắc máy chủ được chạm tới. Nếu yêu cầu nói về việc phơi bày các lần thử chứ không phải truy cập, thì chấp nhận ở máy chủ chỉ là một nửa biện pháp kiểm soát.

Thực thi ở máy khách: chặn lần thử, không chỉ đường hầm

Quy tắc phía máy khách phải cấm lưu lượng, không chỉ khởi động đường hầm khi mở thư. Một trình kích hoạt cho tên miền thư có thể nâng VPN lên đúng lúc, nhưng nó không định nghĩa điều gì xảy ra khi đường hầm tắt hoặc sau khi nó thất bại.

Dùng chính sách chặn được sản phẩm điểm cuối hỗ trợ và xác định phạm vi của nó một cách có chủ đích. Quy tắc ở cấp ứng dụng bao phủ mọi tài khoản trong ứng dụng thư đó, kể cả tài khoản cá nhân. Quy tắc ở cấp đích phải nêu tên các điểm cuối IMAP, gửi thư và xác thực của tài khoản công việc, và phải tiếp tục hoạt động khi những địa chỉ đó thay đổi.

Bao phủ cả hai họ địa chỉ và các phiên hiện có. Một chính sách chặn kết nối IPv4 mới nhưng để yên IPv6 hoặc một socket đã thiết lập tạo ra những lần đồng bộ gián đoạn trông có vẻ ngẫu nhiên. Thay đổi mạng và chu kỳ ngủ là một phần của cùng bài kiểm tra.

Quy tắc cấp ứng dụng và cấp đích có phạm vi ảnh hưởng khác nhau

Chặn ở cấp ứng dụng dễ lập luận: không có lưu lượng nào từ Thư đi ra nếu không có đường hầm. Nó cũng thô, vì cùng một ứng dụng có thể có tài khoản cá nhân không liên quan gì đến chính sách. Người dùng nhận ra điều đó trước và báo cáo là ứng dụng thư hỏng.

Chặn ở cấp đích hẹp hơn và khó bảo trì hơn. Nó cần toàn bộ tập điểm cuối mà tài khoản dùng, gồm cả dịch vụ khám phá và xác thực, cùng một quy trình cập nhật chúng. Thiếu một cái là tài khoản chạy nửa vời; đưa vào quá nhiều là thư không liên quan dừng lại.

Chọn theo cách diễn đạt của yêu cầu. «Tài khoản công việc này không được kết nối trực tiếp» chỉ vào phạm vi đích. «Chiếc Mac này không được chạy thư ngoài VPN» biện minh cho quy tắc ứng dụng rộng hơn, miễn là chủ sở hữu chấp nhận tác dụng phụ với tài khoản cá nhân.

Kiểm tra từ chối và không thử riêng rẽ

Với một tài khoản thử riêng, kết nối qua VPN và xác nhận hoạt động bình thường. Sau đó ngắt kết nối và thử hai lần: một lần xem máy chủ có từ chối đăng nhập không, và một lần xem Mac có thử kết nối nào không. Đó là những quan sát khác nhau và chúng thuộc về những nhật ký khác nhau.

Xem bằng chứng phía máy khách cho một SYN hoặc truy vấn DNS khi đang ngắt kết nối, và nhật ký máy chủ cho một phiên bị từ chối hoặc được chấp nhận. Nếu máy chủ từ chối nhưng máy khách vẫn thử, quy tắc máy chủ đang hoạt động và thiếu quy tắc máy khách. Nếu máy khách không thử nhưng máy chủ vẫn chấp nhận máy khách khác, ranh giới nằm đúng chỗ bạn đặt.

Ghi lại chủ sở hữu việc thực thi, địa chỉ nguồn mà máy chủ thực sự thấy và tài khoản thử đã dùng. Thay đổi mạng hoặc proxy tiếp theo có thể dịch chuyển nguồn đó, và một ghi chú nêu tên giá trị đã quan sát được kiểm tra nhanh hơn một vòng phỏng đoán nữa.