Mac Mail, два акаунта и едно VPN правило, което не може да ги раздели

Mail се отваря, работната кутия се синхронизира, а личната започва да изтича. Или и двете се синхронизират, но работният сървър отговаря само докато тунелът е вдигнат, и Mail не знае кой акаунт кой е. Симптомът винаги има една и съща форма: едно приложение, два акаунта и правило, което идентифицира приложението. Поправката започва с признанието, че приложението е контейнер, а не граница.

Тук участват три селектора и те не са взаимозаменяеми. Единият е процесът, който осъществява връзката, друг е хостът, до който тя достига, а третият е самоличността, използвана за влизане през този хост. Който от тях политиката ви може да назове, той е границата, която наистина можете да изградите.

Защо приложението е грешната единица

Mail е един процес, който обслужва всеки конфигуриран акаунт. Правило, написано срещу приложението, улавя всички негови връзки, така че личният акаунт наследява работния тунел и маршрута му по подразбиране. Това може да е приемливо, но е решение, а не страничен ефект, който да оставите неразгледан.

Проверете от какво всъщност се оплаква потребителят, преди да поправяте нещо. Кутия, която се синхронизира, но не може да изпраща, обикновено сочи към сървъра за изпращане, а не към входящата кутия, и двете могат да са на различни адреси в един и същ частен диапазон. Питайте дали проблемът е при получаване, изпращане или и двете. Отговорът решава коя крайна точка трябва да покрие правилото ви и спестява едно ходене при администратора на сървъра.

Когато двата акаунта използват различни сървъри

Ако работната поща говори с хост в корпоративния диапазон, а личната — с публичен доставчик, подредба, основана на дестинацията, може да изрази изискването. Тя се нуждае от реалните адреси на пощенските сървъри, DNS, който ги разрешава, и всякакви крайни точки за изпращане или удостоверяване, които вървят със същата услуга. Съберете и трите, преди да пишете политика, защото правило, покриващо само входящата кутия, ще се провали при първото изпращане.

Използвайте адреси, а не частта след знака @. Домейнът в пощенски адрес не е изявление за маршрутизиране и ако го третирате като такова, получавате правило, което се задейства за грешния хост или никога. Потвърдете действителните крайни точки от настройките на акаунта или от администратора.

Когато двата акаунта споделят един сървър

Два акаунта на един и същ адрес на хост напълно обезсилват избора по дестинация. Маршрут към този адрес обслужва всеки, който се свърже, и не може да провери коя кутия влиза след това. Преместването на маршрута мести пътя и за двата акаунта, а това е точно резултатът, който потребителят се опитваше да избегне.

В този момент честните опции са политика, съобразена с акаунта, ако платформата и клиентът я поддържат, отделен одобрен пощенски клиент за работния акаунт, така че границата на приложението да стане реална, или приемане, че двата акаунта пътуват заедно. Изберете една съзнателно и кажете коя.

Задействането на тунел не е същото като покриването му

Полезният товар App Layer VPN на Apple документира настройка MailDomains: изброените домейни карат Mail да задейства VPN връзка при поддържани управляеми внедрявания. Това е полезна способност и е по-тясна, отколкото звучи. Тя стартира тунела, когато Mail говори с тези домейни; не описва всеки маршрут, всяка връзка с приложение или какво се случва, докато тунелът е свален.

Тя е и управляема функция, а не отметка за всеки акаунт в интерфейса на Mail. Ако внедряването не е управляемо, настройката не ви е достъпна и никакво редактиране на профили няма да я създаде.

Тествайте със свежа синхронизация, не с кеширана кутия

Приемният тест е свежа синхронизация за всеки акаунт при предвидената политика, плюс състоянието на недостъпност за защитения. Кешираната кутия не доказва нищо за следващата заявка, а свързаната икона на VPN казва само, че някакъв тунел съществува.

Дайте на администратора крайните точки на работния акаунт и поведението, което искате за личната поща, после питайте коя поддържана политика, съобразена с акаунта, домейна или приложението, го реализира. Наблюдението как двата акаунта се синхронизират при всяко условие е единственото доказателство, че границата, която сте проектирали, е границата, която машината налага.