mail proxy

Mail proxy to usługa pośrednicząca w połączeniach pocztowych, ukrywająca właściwy serwer przed klientem.

Mail proxy jako pośrednik między klientem a serwerem pocztowym

Mail proxy to komponent, który przyjmuje połączenie od programu pocztowego lub innego systemu, a następnie przekazuje je do właściwego serwera obsługującego pocztę. Klient nie musi łączyć się bezpośrednio z adresem wewnętrznego serwera. Zamiast tego korzysta z adresu i portu udostępnionego przez proxy. Po odebraniu żądania pośrednik może zestawić osobne połączenie z serwerem docelowym i przekazywać dane pomiędzy obiema stronami. Taki układ jest często stosowany przed usługami SMTP, IMAP albo POP3, choć konkretny zakres zależy od konfiguracji danego rozwiązania.

W przypadku wysyłania poczty mail proxy może pośredniczyć w ruchu SMTP. Submission dla klientów pocztowych zwykle wykorzystuje port 587, natomiast port 25 jest powszechnie używany do komunikacji między serwerami pocztowymi. Połączenia szyfrowane mogą korzystać z portu 465 dla SMTP over TLS. Dla odbierania wiadomości spotyka się port 143 dla IMAP, 993 dla IMAP z TLS, 110 dla POP3 oraz 995 dla POP3 z TLS. Same numery portów nie dowodzą jednak, że za danym adresem działa proxy; muszą odpowiadać rzeczywistej konfiguracji usługi.

Przekazywanie SMTP, IMAP i POP3 przez warstwę pośrednią

Proxy pocztowy może działać jako przezroczysty pośrednik transportowy albo jako komponent rozumiejący protokół. W prostszym wariancie przekazuje strumień TCP pomiędzy klientem i serwerem, bez interpretowania treści komend. W wariancie świadomym protokołu może rozpoznawać etap uwierzytelnienia, negocjowanie TLS, komendy SMTP oraz odpowiedzi serwera. Dla SMTP oznacza to możliwość obsługi połączeń, w których klient wykonuje między innymi komendy EHLO, AUTH, MAIL FROM, RCPT TO i DATA. Proxy nie powinno jednak samodzielnie zmieniać tych danych bez jasno określonej reguły, ponieważ mogłoby to zmienić adres nadawcy, odbiorcy albo sposób autoryzacji.

Przy IMAP i POP3 pośrednik może kierować użytkownika do odpowiedniego serwera na podstawie nazwy konta, domeny lub ustalonej mapy backendów. Wymaga to poprawnego zachowania kolejności komunikatów, limitów czasu i sesji TCP. Szczególną uwagę trzeba zwrócić na TLS. Proxy może przepuszczać zaszyfrowany ruch bez odczytywania jego zawartości, może zakończyć TLS na własnym certyfikacie i rozpocząć nowe szyfrowane połączenie do backendu albo może obsługiwać różne tryby zależnie od portu. Błędny certyfikat, niezgodna nazwa hosta, nieobsługiwana wersja TLS lub brak zaufania do urzędu certyfikacji może uniemożliwić logowanie mimo prawidłowego hasła.

Filtrowanie, uwierzytelnianie i diagnostyka ścieżki pocztowej

Mail proxy może pełnić funkcję punktu kontroli ruchu. Na tym etapie da się ograniczać adresy źródłowe, liczbę połączeń, rozmiar wiadomości, liczbę odbiorców w pojedynczej sesji oraz częstotliwość prób logowania. W przypadku połączeń SMTP możliwe jest także przekazywanie wiadomości do dalszej analizy antyspamowej lub antywirusowej, ale nie każdy mail proxy wykonuje takie zadania. Część produktów jest wyłącznie przekaźnikiem połączeń, a filtrowanie realizuje oddzielny gateway pocztowy albo sam serwer SMTP.

Diagnostykę należy rozpocząć od ustalenia, z którym adresem i portem łączy się klient, a następnie sprawdzić, czy proxy przyjmuje połączenie i czy może dotrzeć do backendu. Przydatne są testy warstwy TCP oraz TLS, na przykład Test-NetConnection w systemie Windows albo openssl s_client do sprawdzenia ręcznie zestawianego połączenia TLS. Wynik testu trzeba interpretować razem z logami obu stron. Błąd po stronie proxy może oznaczać odmowę połączenia, przekroczenie limitu czasu, brak trasy do backendu lub odrzucenie reguły dostępu. Błąd serwera docelowego może natomiast dotyczyć nieistniejącej skrzynki, nieprawidłowej autoryzacji, limitu połączeń albo odrzucenia adresu nadawcy.

Objawy błędnej konfiguracji mail proxy na komputerze

Awaria pośrednika może wyglądać inaczej w zależności od używanego protokołu. Program pocztowy może nie znaleźć serwera, zgłaszać przekroczenie czasu oczekiwania, odrzucać certyfikat, wielokrotnie prosić o hasło albo pozwalać na odbiór wiadomości bez możliwości wysyłania. Możliwa jest również sytuacja, w której SMTP działa, lecz IMAP nie, ponieważ oba kierunki korzystają z innych portów, reguł dostępu i serwerów backendowych. Zmiana adresu serwera w konfiguracji klienta bez sprawdzenia przeznaczenia proxy może spowodować próbę wysłania ruchu IMAP do usługi SMTP lub odwrotnie.

Podczas naprawy warto porównać ustawienia nazwy hosta, numeru portu, metody szyfrowania i sposobu uwierzytelniania z konfiguracją wymaganą przez administratora usługi. Należy też sprawdzić lokalną zaporę sieciową, program zabezpieczający, wpisy DNS oraz obecność ręcznie ustawionego proxy w aplikacji pocztowej. Jeżeli połączenie zatrzymuje się przed odpowiedzią serwera, problem zwykle leży w dostępności portu, trasie sieciowej albo regule proxy. Jeżeli serwer odpowiada, ale odrzuca komendę AUTH lub wiadomość po komendzie RCPT TO, trzeba analizować uprawnienia i politykę serwera pocztowego, a nie tylko ustawienia samego komputera.