E-pos werk sonder die VPN: word dit in die geheim deur 'n tonnel gestuur?
'n Exchange-rekening kies nie 'n poort of 'n protokol of 'n roete nie. Stel eers vas watter ontplooiing, openbare toegang, bestuurde VPN of aktiewe tonnel daar is voordat jy aanvaar.
E-pos bly op 'n selfoon aankom wat nog nooit 'n VPN-ikoon gewys het nie, en die natuurlike gevolgtrekking is dat iets onsigbaars dit deur 'n tonnel stuur. Gewoonlik is daar niks onsigbaars betrokke nie. Om 'n Exchange-rekening by te voeg kies nie 'n poort, 'n protokol, 'n sertifikaat of 'n roete nie, want 'n rekening is 'n diensidentiteit en 'n tonnel is 'n netwerkopset wat iemand anders opgestel het. Die nuttige stap is om vas te stel watter opset jy werklik het, eerder as om te soek na 'n tonnel wat nooit daar was nie.
Drie opsette, een identiese skerm
Al drie eindig met e-pos wat op die toestel verskyn, en die instellingskerm lyk in elke geval dieselfde. Wat verskil, is wie die pad opgestel het en watter bewyse toon dat dit bestaan.
| Arrangement | Who set it up | What proves it |
|---|---|---|
| Approved public mail entry | The service owner, at the publishing layer | A published endpoint reached over TLS with its own authentication |
| Managed app or account VPN | Device management, as explicit policy | A profile binding that traffic to a VPN association |
| Already active tunnel | An always-on service or an earlier manual connect | Tunnel state plus routes and scope that include the mail destination |
Openbare bereikbaarheid verdien sy eie sin, want dit word voortdurend verkeerd gelees. 'n Gepubliseerde e-posdiens is nie 'n ongemagtigde een nie, en die feit dat e-pos bereikbaar is, sê niks oor of die res van die korporatiewe netwerk dit is nie. Dit is afsonderlike besluite wat deur afsonderlike mense geneem word.
Wat toestelbestuur werklik kan bind
Apple-platforms ondersteun reëls vir VPN per app en per e-posdomein, en bestuurde e-pos op iOS of iPadOS kan 'n rekeningspesifieke VPN-assosiasie dra. Daardie assosiasie is 'n voorsieningsinstelling met 'n waarde wat iemand gekies het, en daarom kan dit juis nie afgelei word deur 'n e-posadres en 'n wagwoord op 'n selfoon in te tik nie.
Android-bestuur en derdeparty-kliënte het hul eie app- en profielbeheer, en nie een daarvan is uitruilbaar met Apple se rekeningnutslading nie. 'n Beleid wat op een platform bestaan, moet doelbewus op 'n ander een herskep word. Dit reis nie saam met die e-posrekening nie, en dit kom nie omdat dieselfde persoon by albei aangemeld het nie. Om te verwag dat daardie vertaling vanself gebeur, lê agter 'n groot deel van “dit werk op my selfoon”-verslae oor platforms heen.
Identiteit en vervoer bly apart
'n E-posdiens en 'n VPN kan wettiglik 'n gids of 'n identiteitsverskaffer deel, en mense lees daardie gedeelde aanmelding as bewys van 'n gedeelde sessie. Dit is nie so nie. Herhaalde gebruikersnaamteks wys nie dat die e-posprogram 'n VPN-sessie geërf het nie, en dit is geen rede om onverwante wagwoorde vir elke diens te bedink nie.
Albei dienste eis hul eie verifikasie, op hul eie voorwaardes. 'n Suksesvolle e-posaanmelding moet nooit as iets beskou word om in 'n VPN-kliënt te plak nie, en 'n tonnel wat opgekom het, sê niks oor watter rekening die e-posbediener sal toelaat nie. Die Intune-e-posprofielverwysing is hier 'n nuttige illustrasie, want dit behandel die VPN-assosiasie as 'n afsonderlike instelling eerder as 'n eienskap wat van die rekeningnaam afgelei word.
Vars sinchronisasie wen teen 'n gekaste inkassie
'n Gekaste inkassie kan heeltemal gesond lyk sonder enige huidige pad, en daarom bewys dit niks om die app oop te maak en verlede week se boodskappe te sien nie. Gebruik 'n goedgekeurde vars sinchronisasietoets en lees die status- of logbewyse wat daarmee saamkom.
Kyk dan na die vier dinge wat die uitkoms werklik bepaal: die gekonfigureerde dienspunt, wat die oplosser terugstuur, watter bestuurde profiel geld, en die huidige VPN-toestand. Doen dit in die regte konteks, want 'n persoonlike e-posprogram met 'n soortgelyke naam word nie deur die werkprogram se netwerkbeleid beheer nie en sal om heeltemal wettige redes anders optree. Om daardie twee kontekste te meng, is hoe 'n werkende opset as stukkend gerapporteer word. Dit verduidelik ook die meeste gevalle waar een app 'n beleid gehoorsaam en sy byna-naamgenoot dit ignoreer.
Skryf neer wat jy geverifieer het
As toegang veronderstel is om 'n tonnel te vereis, moet die eienaar beide die toegelate private pad en die gedrag daarsonder bevestig. As die diens doelbewus gepubliseer is, hou sy TLS-validering, verifikasie en toegangsbeheer in plek eerder as om die afwesigheid van 'n tonnel as bewys te sien dat e-pos onversleutel is.
Die ondersteuningsrekord moet die e-posproduk, die dienspunt, die rekeningomvang en die verbindingsbeleid noem. Dat wagwoorde identies is, is bewys van nie een van daardie vier nie, en dit is die enkele algemeenste rede waarom 'n kaartjie vier paragrawe en geen feite bevat nie.