zapora sieciowa blokuje klienta poczty

Zapora sieciowa blokująca klienta poczty wymaga sprawdzenia reguł dotyczących portów SMTP, IMAP i POP3.

Jak rozpoznać, że zapora zatrzymuje pocztę

Objaw zależy od tego, który etap komunikacji jest blokowany. Klient poczty może wyświetlać komunikat o przekroczeniu limitu czasu, odmowie połączenia albo niemożności nawiązania bezpiecznej sesji TLS. Jeżeli wiadomości przychodzą, ale nie można ich wysyłać, problem zwykle dotyczy serwera SMTP lub portu używanego do wysyłania. Jeżeli nie działa odbieranie, trzeba sprawdzić ustawienia IMAP albo POP3 oraz reguły dla połączeń wychodzących. Sam fakt, że przeglądarka otwiera strony internetowe, nie oznacza, że zapora zezwala na każdy rodzaj ruchu.

W typowej konfiguracji poczta korzysta z określonych portów TCP. SMTP do transmisji między serwerami używa portu 25, natomiast klient pocztowy zwykle wysyła wiadomości przez port 587, nazywany portem submission, albo przez port 465 dla SMTP z szyfrowaniem TLS uruchamianym od początku połączenia. IMAP korzysta z portu 143, a jego szyfrowany wariant IMAPS z portu 993. POP3 działa na porcie 110, natomiast POP3S na porcie 995. Reguła zapory musi przepuszczać właściwy port i protokół, ponieważ otwarcie portu 25 nie naprawi klienta skonfigurowanego do wysyłania przez 587.

Port, tryb TLS i uwierzytelnianie muszą tworzyć jedną konfigurację

Zapora sieciowa nie zawsze jest jedyną przyczyną problemu. Połączenie może zostać odrzucone także wtedy, gdy klient używa nieprawidłowego portu, błędnego trybu szyfrowania albo wymaga uwierzytelniania w sposób niezgodny z serwerem pocztowym. Dla portu 587 serwer zazwyczaj oczekuje połączenia z późniejszym przejściem do TLS za pomocą mechanizmu STARTTLS. Port 465 jest przeznaczony do połączenia szyfrowanego od samego początku. Wybranie portu 465 przy ustawieniu STARTTLS albo portu 587 przy ustawieniu szyfrowania właściwym dla połączenia implicit TLS może skutkować błędem negocjacji, mimo że zapora przepuszcza ruch.

Podobna zależność występuje przy odbieraniu wiadomości. Dla IMAP bez szyfrowania używany jest port 143, a dla IMAPS port 993. Dla POP3 bez szyfrowania stosuje się port 110, a dla POP3S port 995. Jeżeli administrator zapory zezwolił tylko na port 993, klient skonfigurowany na IMAP przez 143 nadal nie połączy się z serwerem. Warto również sprawdzić, czy reguła dotyczy właściwego programu, adresu docelowego i profilu sieciowego. W systemach z filtrowaniem aplikacji zezwolenie dla jednego pliku wykonywalnego nie musi obejmować innej instalacji klienta lub jego procesu pomocniczego.

Rozdzielenie zapory lokalnej, routera i blokady operatora

Ruch pocztowy może być filtrowany w kilku miejscach. Zapora systemu Windows lub innego systemu operacyjnego działa bezpośrednio na komputerze. Osobny filtr może znajdować się w programie antywirusowym, pakiecie bezpieczeństwa albo module kontroli szyfrowanych połączeń. Kolejnym punktem jest router, który może posiadać reguły kontroli rodzicielskiej, filtrowanie usług lub ograniczenia dla urządzeń podłączonych do konkretnej sieci. Jeżeli klient poczty działa po przełączeniu komputera na inną sieć, na przykład hotspot telefonu, wskazuje to na problem w pierwotnej sieci, routerze albo regułach operatora, a niekoniecznie w samym programie pocztowym.

Szczególnej uwagi wymaga port 25. Dostawcy internetu często ograniczają wychodzące połączenia SMTP na tym porcie, aby zmniejszyć skalę wysyłania spamu z zainfekowanych urządzeń. Taka blokada nie musi obejmować portów 587 i 465, dlatego poprawnym rozwiązaniem dla zwykłego klienta poczty jest użycie portu submission wskazanego przez dostawcę skrzynki, a nie obchodzenie blokady przez przypadkowe otwieranie reguł. Diagnostyka powinna obejmować próbę połączenia z właściwym adresem serwera i portem, porównanie działania w dwóch sieciach oraz analizę logów zapory. Sam komunikat programu nie rozstrzyga, czy pakiet został odrzucony lokalnie, przez router, czy przez urządzenie po stronie serwera.

Bezpieczna kolejność naprawy konfiguracji poczty

Najpierw należy zapisać aktualne ustawienia konta i ustalić u dostawcy poczty prawidłowe nazwy serwerów, porty oraz wymagany tryb TLS. Następnie warto sprawdzić, czy klient poczty ma włączone uwierzytelnianie SMTP i czy używa tych samych danych konta, które są wymagane przez serwer. W zaporze trzeba wyszukać reguły blokujące aplikację lub połączenia wychodzące i zweryfikować ich zakres. Bezpieczniejsza jest precyzyjna reguła dla konkretnego programu, adresu serwera i portu TCP niż całkowite wyłączenie zapory. Wyłączenie ochrony może chwilowo zmienić objaw, ale nie identyfikuje źródła problemu i pozostawia komputer bez filtrowania ruchu.

Po zmianie ustawień należy wykonać osobno test odbierania i wysyłania, ponieważ mogą korzystać z różnych serwerów i portów. Trzeba też sprawdzić, czy wiadomość opuszcza skrzynkę nadawczą oraz czy klient nie zgłasza błędu certyfikatu. Ostrzeżenie o nazwie certyfikatu, niezgodnym łańcuchu zaufania lub nieudanej negocjacji TLS nie powinno być naprawiane przez bezwarunkowe wyłączanie weryfikacji certyfikatów. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może także sprawdzić lokalne reguły zapory, konfigurację klienta poczty oraz różnice między połączeniem z sieci domowej i alternatywnego dostępu do internetu.