เปิด VPN แล้วส่งอีเมลไม่ได้ เกี่ยวกับ SMTP อย่างไร

VPN เชื่อมต่ออยู่ กล่องขาเข้ารีเฟรชได้ อีเมลใหม่เข้ามาตามปกติ แต่พอกดส่งกลับไม่มีอะไรเกิดขึ้น ข้อความค้างอยู่ในกล่องขาออก มีคำเตือนสีแดง หรือแอปบอกว่าเชื่อมต่อเซิร์ฟเวอร์ขาออกไม่ได้ พอตัด VPN ก็ส่งออกทันที รูปแบบนี้พบบ่อยมาก และไม่ได้แปลว่าอีเมลหรือ VPN ของคุณเสีย แต่แปลว่าอีเมลขาออกถูกปฏิบัติต่างจากอีเมลขาเข้า

บทความนี้อธิบายเหตุผลด้วยภาษาง่าย ๆ ครอบคลุมพอร์ตที่อีเมลใช้ วิธีที่เครือข่ายและผู้ให้บริการจำกัดการส่ง ความหมายของที่อยู่ VPN ที่ใช้ร่วมกันต่อการตรวจของผู้ให้บริการอีเมล วิธีอ่านข้อความผิดพลาด และขั้นตอนทีละข้อที่แก้ได้ส่วนใหญ่โดยไม่ต้องลองมั่ว เนื้อหาอยู่ในขอบเขตการใช้งานที่ถูกต้อง คือส่งอีเมลของตัวเองจากบัญชีของตัวเอง และจะไม่ช่วยให้ส่งอีเมลจำนวนมาก เลี่ยงกฎของผู้ให้บริการ หรือหลบการบล็อกที่ใครตั้งไว้โดยเจตนา

ทำไมการส่งต่างจากการรับ

อีเมลมีสองงาน และใช้ระบบต่างกัน การรับหมายถึงแอปขอข้อความใหม่จากเซิร์ฟเวอร์อีเมลโดยใช้โปรโตคอลอย่าง IMAP หรือ POP การส่งหมายถึงแอปส่งข้อความให้เซิร์ฟเวอร์ขาออกด้วย SMTP แล้วเซิร์ฟเวอร์นั้นส่งต่อไปยังเซิร์ฟเวอร์ของผู้รับ เป็นเซิร์ฟเวอร์คนละตัว มักมีชื่อโฮสต์ต่างกัน และฟังที่พอร์ตต่างกัน

สองทิศทางยังมีความเสี่ยงต่างกัน ใครก็พยายามใช้เซิร์ฟเวอร์ส่งอีเมลที่เปิดโล่งเพื่อส่งอีเมลขยะได้ เครือข่ายและผู้ให้บริการจึงเข้มงวดกับอีเมลขาออกมากกว่าขาเข้ามานานหลายสิบปี พวกเขาดูว่าที่อยู่ไหนเชื่อมต่อ ใช้พอร์ตอะไร ผู้ใช้ล็อกอินแล้วหรือยัง และส่งไปกี่ฉบับ การตั้งค่าที่ไม่ผ่านการตรวจเหล่านี้บนการเชื่อมต่อปกติของคุณ อาจโดนตรวจเมื่อ VPN เปลี่ยนเส้นทาง

นั่นอธิบายอาการคลาสสิก กล่องขาเข้าใช้ได้ การส่งล้มเหลว กล่องขาเข้าต้องการแค่การเชื่อมต่อดึงข้อความสำเร็จ ส่วนการส่งต้องได้รับอนุญาตเพิ่มเพื่อใช้เซิร์ฟเวอร์ขาออก และข้อจำกัดอยู่ตรงนั้น

สาเหตุที่ 1 พอร์ตขาออกถูกบล็อก

การส่งอีเมลใช้พอร์ตไม่กี่ตัว การรู้ว่าตัวไหนคืออะไรช่วยให้อ่านการตั้งค่าของคุณออก

พอร์ต	ใช้ทำอะไร	หมายเหตุ
25	ส่งอีเมลระหว่างเซิร์ฟเวอร์	ไม่ได้ออกแบบสำหรับแอปอีเมลทั่วไป ถูกบล็อกกว้างขวางทั้งเครือข่ายบ้าน มือถือ โรงแรม และคลาวด์จำนวนมาก
587	ส่งอีเมล มักใช้ STARTTLS	ตัวเลือกปกติของแอปอีเมล ต้องล็อกอิน
465	ส่งอีเมลผ่าน TLS ตั้งแต่เริ่ม	พบบ่อยและผู้ให้บริการหลายรายรองรับ
2525	พอร์ตทางเลือกที่ผู้ให้บริการบางรายเปิด	ไม่ใช่มาตรฐานทั่วไป ใช้เมื่อผู้ให้บริการระบุไว้เท่านั้น

สาเหตุที่พบบ่อยของการส่งล้มเหลวคือแอปอีเมลยังตั้งใช้พอร์ต 25 หรือเป็นการตั้งค่าเก่าที่ปิดการเข้ารหัส ซึ่งอาจเคยใช้ได้บนเครือข่ายหนึ่งแล้วหยุดบนอีกเครือข่าย พอร์ต 25 เป็นพอร์ตอีเมลที่ถูกบล็อกมากที่สุด และเครือข่ายโรงแรมกับเซิร์ฟเวอร์ที่เกี่ยวข้องหลายแห่งปิดมันเพื่อลดการละเมิด ถ้าการตั้งค่าของคุณเป็น 25 ให้เปลี่ยนเป็นพอร์ต submission และชนิดการเข้ารหัสที่ระบุในหน้าช่วยเหลือของผู้ให้บริการอีเมลคุณ การเข้ารหัสการเชื่อมต่ออีเมลใช้เทคโนโลยีเดียวกับการท่องเว็บที่ปลอดภัย ซึ่งอธิบายไว้ใน ข้อกำหนด TLS 1.3

สัญญาณของพอร์ตที่ถูกบล็อกคือ หมดเวลาโดยไม่มีรหัสผิดพลาด แอปรอ แล้วบอกว่าเชื่อมต่อเซิร์ฟเวอร์ขาออกไม่ได้ ไม่มีใครปฏิเสธคุณ เพราะไม่มีใครตอบเลย

สาเหตุที่ 2 ผู้ให้บริการไม่ไว้ใจที่อยู่นั้น

เมื่อคุณล็อกอินบัญชีอีเมล ผู้ให้บริการเห็นที่อยู่อินเทอร์เน็ตที่คุณเชื่อมต่อมา เมื่อเปิด VPN ที่อยู่นั้นเป็นของบริการ VPN และอาจมีคนหลายคนใช้ร่วมกันในเวลาเดียวกัน ผู้ให้บริการอีเมลใส่ใจเรื่องนี้มาก เพราะระบบป้องกันการละเมิดตัดสินที่อยู่จากประวัติ ที่อยู่ที่คนอื่นเคยใช้ในทางที่ไม่ดีอาจถูกมองด้วยความสงสัย ทั้งที่คุณไม่ได้ทำอะไรผิด

สิ่งที่คุณอาจเจอ

• การท้าทายตอนล็อกอิน ผู้ให้บริการขอให้ยืนยันว่าเป็นคุณจริงด้วยรหัสหรือข้อความ เพราะที่อยู่ไม่คุ้น ให้ทำตามขั้นตอนตามปกติ
• ข้อจำกัดชั่วคราว การส่งหยุดพักหรือถูกจำกัดจำนวนฉบับจนกว่าความไว้ใจกลับมา
• ถูกปฏิเสธพร้อมรหัส คุณอาจเห็น 535 (ปฏิเสธการยืนยันตัวตน) 550 หรือ 554 (ปฏิเสธข้อความ) พร้อมข้อความเรื่องนโยบายหรือที่อยู่ที่เชื่อมต่อ
• อีเมลถูกส่งเข้าสแปม เป็นคนละเรื่องกับการตัดสินใจของผู้ให้บริการคุณ ระบบของผู้รับบางครั้งดูส่วนหัวและใส่ใจวิธีที่ข้อความถูกส่ง

ทั้งหมดนี้ไม่ใช่บั๊กของ VPN และไม่ใช่สิ่งที่คุณควรพยายามซ่อนจากผู้ให้บริการ ถ้าผู้ให้บริการขอการยืนยัน ก็ให้ไป เปิดการป้องกันล็อกอินที่แข็งแรงให้กล่องจดหมาย เช่นการยืนยันสองขั้นตอน ซึ่ง คู่มือ CISA เรื่องการยืนยันตัวตนหลายปัจจัย อธิบายไว้ กล่องจดหมายที่ใช้มันมีโอกาสถูกล็อกน้อยลงเมื่อมีที่อยู่ไม่คุ้นปรากฏ

ถ้าอยากเข้าใจว่าที่อยู่ของคุณถูกมองจากโลกภายนอกอย่างไร ดูบทความเรื่อง ที่อยู่ IP สาธารณะคืออะไร

สาเหตุที่ 3 แอปอีเมลตั้งค่าเก่าหรือผิด

บางครั้ง VPN แค่เปิดเผยความผิดพลาดที่มีอยู่แล้ว ตรวจสิ่งเหล่านี้ในการตั้งค่าบัญชีของแอปอีเมล

• ชื่อเซิร์ฟเวอร์ขาออก ต้องตรงกับที่ผู้ให้บริการประกาศ พิมพ์ผิดและชื่อเก่าพบบ่อยหลังผู้ให้บริการย้ายระบบ
• การยืนยันตัวตนสำหรับการส่ง หลายแอปมีสวิตช์ที่บอกว่าเซิร์ฟเวอร์ขาออกต้องล็อกอิน ถ้าปิด เซิร์ฟเวอร์จะปฏิเสธคุณ
• ชื่อผู้ใช้และรหัสผ่านเดียวกันสำหรับการส่ง ผู้ให้บริการบางรายต้องการอีเมลเต็มเป็นชื่อผู้ใช้ ไม่ใช่เฉพาะส่วนก่อน @
• รหัสผ่านเฉพาะแอป ผู้ให้บริการที่ใช้การยืนยันสองขั้นตอนมักต้องการรหัสผ่านแอปแยกต่างหากในแอปอีเมลของบุคคลที่สาม รหัสผ่านบัญชีปกติจะถูกปฏิเสธด้วยข้อผิดพลาด 535
• ชนิดการเข้ารหัส STARTTLS บนพอร์ต 587 กับ TLS บนพอร์ต 465 ใช้แทนกันไม่ได้ ถ้าไม่ตรงกันจะดูเหมือนเชื่อมต่อล้มเหลว

ปัญหาเหล่านี้ซ่อนอยู่ได้เป็นเดือน เพราะบนเครือข่ายบ้านมีเส้นทางที่ผ่อนปรนให้แอปผ่านไปได้ การแก้การตั้งค่าเป็นคำตอบที่ดีกว่าการปิด VPN ตลอดไป

สาเหตุที่ 4 เซิร์ฟเวอร์อีเมลของบริษัทหรือโรงเรียนจำกัดที่ล็อกอิน

ระบบอีเมลของที่ทำงานและมหาวิทยาลัยเข้มงวดกว่านั้นอีก บางแห่งรับการล็อกอินเฉพาะจากเครือข่ายขององค์กร หรือจากสถานที่ที่ระบุ หรือบังคับให้ใช้การเชื่อมต่อที่องค์กรอนุมัติ ถ้าคุณใช้ VPN ส่วนตัวซ้อนเข้าไป ระบบอีเมลอาจปฏิเสธคุณในฐานะตำแหน่งที่ไม่คาดคิด นั่นคือนโยบาย ไม่ใช่ข้อผิดพลาด ให้ถามฝ่ายไอทีว่าจะเชื่อมต่อจากภายนอกอย่างไร และทำตามคำแนะนำ แทนการพยายามเลี่ยงกฎ บทความเรื่อง การใช้ VPN เพื่อทำงานระยะไกล อธิบายว่าการเชื่อมต่อส่วนตัวและของบริษัทสัมพันธ์กันอย่างไร

ขั้นตอนทีละข้อ

ไล่ตามลำดับและหยุดเมื่อส่งได้

1. ยืนยันว่าปัญหาอยู่ที่การส่ง ลองรับอีเมลทดสอบ แล้วส่งหาตัวเองจากหน้าเว็บเมลในเบราว์เซอร์ ถ้าเว็บเมลส่งได้ตอนเปิด VPN แปลว่าบัญชีและเส้นทาง VPN ปกติ ปัญหาอยู่ที่แอปอีเมล
2. ดูข้อความผิดพลาดตรง ๆ หมดเวลาแปลว่าปัญหาพอร์ต 535 แปลว่าปัญหาการล็อกอิน การปฏิเสธ 5xx พร้อมประโยคเรื่องนโยบายแปลว่าปัญหาความไว้ใจหรือเนื้อหา
3. ตรวจการตั้งค่าเซิร์ฟเวอร์ขาออก เทียบกับหน้าช่วยเหลือของผู้ให้บริการ ทั้งชื่อเซิร์ฟเวอร์ พอร์ต การเข้ารหัส และข้อกำหนดให้ล็อกอิน
4. เปลี่ยนเป็นพอร์ต 587 พร้อม STARTTLS หรือ 465 พร้อม TLS ตามที่ผู้ให้บริการระบุ เลี่ยงพอร์ต 25 สำหรับการส่งทั่วไป
5. สร้างรหัสผ่านแอป ถ้าผู้ให้บริการใช้การยืนยันสองขั้นตอนและคุณใช้แอปของบุคคลที่สาม
6. ทำตามข้อความด้านความปลอดภัยจากผู้ให้บริการ แล้วรอสักพักถ้าแจ้งว่ามีข้อจำกัดชั่วคราว
7. ทดสอบโดยปิด VPN สั้น ๆ เพื่อยืนยันว่าเส้นทาง VPN เกี่ยวข้อง ถ้าส่งได้เฉพาะตอนปิด VPN ให้ไปขั้นถัดไป
8. เปลี่ยนวิธีเชื่อมต่อหรือโลเคชันในแอป VPN หากมีให้เลือก แล้วทดสอบอีกครั้ง ผู้ให้บริการอาจปฏิบัติต่อเส้นทางต่างกัน
9. ใช้ split tunneling หากแอปมี เพื่อให้แอปอีเมลใช้การเชื่อมต่อปกติ ส่วนที่เหลืออยู่ในอุโมงค์ บทความอธิบายเรื่อง split tunneling ให้แนวคิดและข้อแลกเปลี่ยน
10. ติดต่อผู้ให้บริการอีเมล พร้อมข้อความผิดพลาด เวลา และการตั้งค่าที่ลองแล้ว

จดสิ่งที่เปลี่ยนไว้ เพื่อย้อนกลับแต่ละขั้นได้

ตัวอย่างสถานการณ์จริง

ฟรีแลนซ์ในร้านกาแฟ อีเนสเชื่อม Wi-Fi ร้านกาแฟ เปิด VPN แล้วพยายามส่งใบแจ้งหนี้จากแอปอีเมล ข้อความค้างในกล่องขาออก แอปของเธอใช้พอร์ต 25 จากการตั้งค่าเก่า เธอเปลี่ยนพอร์ตขาออกเป็น 587 พร้อม STARTTLS ตามที่ผู้ให้บริการแนะนำ ใบแจ้งหนี้ก็ส่งออก ทั้งเครือข่ายร้านกาแฟและ VPN ปิดพอร์ต 25 และการตั้งค่าเก่าของเธอเคยใช้ได้แค่ที่บ้าน

พนักงานบนเครือข่ายโรงแรม อีเมลงานของโคฟีส่งได้ปกติที่ออฟฟิศแต่ล้มเมื่อเดินทางด้วยข้อผิดพลาด "ไม่อนุญาตให้ล็อกอิน" เว็บเมลใช้ได้ ระบบอีเมลของบริษัทรับแอปอีเมลเฉพาะจากสถานที่ที่อนุมัติ เขาถามฝ่ายไอที ซึ่งให้การเชื่อมต่อที่บริษัทอนุมัติ เขาจึงใช้อันนั้นแทน

นักเดินทางกับรหัสความปลอดภัย อันห์เปิด VPN ที่ต่างประเทศ และผู้ให้บริการส่งรหัสมายืนยันตำแหน่งใหม่ เธอกรอกรหัส การส่งก็กลับมาใช้ได้ วันถัดมามีข้อความตรวจสอบครั้งที่สองหลังเธอเปลี่ยนโลเคชัน VPN และเธอก็ยืนยันอีกครั้ง การเปลี่ยนโลเคชันบ่อยทำให้เจอการตรวจบ่อย เธอจึงใช้โลเคชันเดียวตลอดทริป

ผู้ปกครองกับบัญชีโรงเรียน พอร์ทัลผู้ปกครองของโรงเรียนส่งการยืนยันผ่านแอปอีเมลที่หยุดทำงานเมื่อใช้ VPN เว็บเมลใช้ได้ การแก้การตั้งค่าการยืนยันตัวตนขาออกของแอปอีเมลแก้ปัญหาได้โดยไม่ต้องแตะ VPN

ข้อผิดพลาดที่พบบ่อย

• ปิด VPN ไว้ทุกอย่าง ให้แก้การตั้งค่าอีเมลหรือใช้ split tunneling แทนการทิ้งการป้องกันบนเครือข่ายสาธารณะ
• ใช้พอร์ต 25 กับแอปอีเมล มันออกแบบมาสำหรับส่งระหว่างเซิร์ฟเวอร์ และถูกบล็อกในหลายเครือข่าย
• ใช้รหัสผ่านปกติทั้งที่ต้องใช้รหัสผ่านแอป ข้อผิดพลาด 535 ดูเหมือนรหัสผิดเพราะถูกรายงานแบบนั้น
• เปลี่ยนโลเคชัน VPN ซ้ำ ๆ ทุกที่อยู่ใหม่อาจกระตุ้นการตรวจใหม่
• เพิ่มบัญชีใหม่ซ้ำ ๆ แทบไม่ช่วย และอาจสร้างบัญชีซ้ำซ้อนหรือถูกล็อก
• มองการบล็อกเป็นสิ่งที่ต้องเอาชนะ ถ้าผู้ให้บริการหรือนายจ้างจำกัดการล็อกอิน ให้ทำงานร่วมกับเขา

ข้อจำกัดของคำแนะนำนี้

ระบบอีเมลต่างกันมากและอัปเดตกฎบ่อย พอร์ตที่ใช้ได้วันนี้อาจถูกจำกัดพรุ่งนี้ และการตัดสินใจเรื่องความไว้ใจของผู้ให้บริการคุณมองไม่เห็น บทความนี้สัญญาไม่ได้ว่าการเปลี่ยนแปลงใดจะแก้กรณีของคุณ และมองไม่เห็นสิ่งที่ผู้ให้บริการของคุณเห็น ถ้าตั้งค่าตามเอกสารทุกอย่างแล้วยังส่งไม่ได้ ทีมสนับสนุนของผู้ให้บริการคือที่ที่เหมาะ ควรมีข้อความผิดพลาดและเวลาที่แน่นอนไปด้วย สำหรับการตรวจกว้างขึ้นเมื่ออุโมงค์ต่อติดแต่ทำงานผิดปกติ ดู เว็บที่ใช้ไม่ได้เมื่อเปิด VPN และ VPN ต่อติดแต่เข้าเน็ตไม่ได้

สรุป

เมื่ออีเมลส่งไม่ได้ผ่าน VPN ทั้งที่รับได้ ปัญหามักอยู่ที่เส้นทางขาออกเกือบทุกครั้ง คือพอร์ต SMTP ที่ถูกบล็อกหรือผิด ขาดการล็อกอินหรือรหัสผ่านแอป ที่อยู่ที่ผู้ให้บริการยังไม่ไว้ใจ หรือนโยบายล็อกอินขององค์กร อ่านข้อความผิดพลาดเพื่อแยกหมดเวลา การปฏิเสธล็อกอิน และการปฏิเสธข้อความ ใช้พอร์ต submission ที่ผู้ให้บริการระบุ ทำตามการยืนยันที่ขอ และปิด VPN สั้น ๆ เพื่อทดสอบเท่านั้น หากอยากมีแพ็กไว้ทดสอบการตั้งค่าอีเมลบนเครือข่ายใหม่ ดูตัวเลือกที่ หน้าราคา และ หน้าดาวน์โหลด มีแอป VPNclient ทางการ