Mac Mail, dos comptes i una regla VPN que no els pot separar

Mail s’obre, la bústia de feina se sincronitza i la personal comença a esgotar el temps. O totes dues se sincronitzen, però el servidor de feina només respon mentre hi ha un túnel, i Mail no sap quin compte és quin. El símptoma sempre té la mateixa forma: una aplicació, dos comptes i una regla que identifica l’aplicació. La solució comença per admetre que l’aplicació és un contenidor, no una frontera.

Aquí hi ha tres selectors en joc, i no són intercanviables. Un és el procés que fa la connexió, un altre és l’amfitrió que assoleix, i el tercer és la identitat que s’utilitza per iniciar sessió per aquest amfitrió. El que la vostra política pugui anomenar és la frontera que realment podeu construir.

Per què l’aplicació és la unitat equivocada

Mail és un sol procés que atén cada compte configurat. Una regla escrita contra l’aplicació captura totes les seves connexions, de manera que el compte personal hereta el túnel de feina i la seva ruta per defecte. Això pot ser acceptable, però és una decisió, no un efecte secundari que pugueu deixar sense examinar.

Comproveu de què es queixa realment l’usuari abans de corregir res. Una bústia que se sincronitza però no pot enviar sol apuntar al servidor de tramesa en lloc de la safata d’entrada, i tots dos poden ser en adreces diferents dins del mateix interval privat. Pregunteu si la fallada és en rebre, en enviar o en totes dues coses. La resposta decideix quina punta final ha de cobrir la regla, i estalvia un viatge amb qui administra el servidor.

Quan els dos comptes fan servir servidors diferents

Si el correu de feina parla amb un amfitrió dins de l’interval corporatiu i el correu personal amb un proveïdor públic, un arranjament basat en la destinació pot expressar el requisit. Necessita les adreces reals dels servidors de correu, el DNS que les resol i qualsevol punta final de tramesa o autenticació que acompanyi el mateix servei. Reuniu les tres coses abans d’escriure política, perquè una regla que només cobreixi la safata d’entrada fallarà al primer enviament.

Feu servir adreces, no la part després del signe @. Un domini en una adreça de correu no és una declaració d’encaminament, i tractar-lo com a tal produeix una regla que s’activa per a l’amfitrió equivocat o que no s’activa mai. Confirmeu els punts finals reals des de la configuració del compte o amb l’administrador.

Quan els dos comptes comparteixen un servidor

Dos comptes a la mateixa adreça d’amfitrió anul·len completament la selecció per destinació. Una ruta a aquesta adreça serveix qui es connecti, i no pot inspeccionar quina bústia inicia sessió després. Moure la ruta mou el camí per als dos comptes, i això és exactament el resultat que l’usuari volia evitar.

En aquest punt, les opcions honestes són una política conscient del compte si la plataforma i el client en recolzen una, un client de correu aprovat separat per al compte de feina perquè la frontera de l’aplicació esdevingui real, o acceptar que els dos comptes viatgen junts. Trieu-ne una deliberadament i digueu quina heu triat.

Desencadenar un túnel no és el mateix que cobrir-lo

La càrrega útil App Layer VPN d’Apple documenta un paràmetre MailDomains: els dominis llistats fan que Mail desencadeni una connexió VPN en desplegaments gestionats compatibles. És una capacitat útil, i és més estreta del que sembla. Inicia el túnel quan Mail parla amb aquests dominis; no descriu cada ruta, cada associació d’aplicacions ni què passa mentre el túnel està baixat.

També és una funció gestionada, no una casella per compte a la interfície de Mail. Si el desplegament no és gestionat, el paràmetre no us és disponible, i cap quantitat d’edició de perfils el produirà.

Proveu amb una sincronització nova, no amb una bústia en memòria cau

La prova d’acceptació és una sincronització nova per a cada compte sota la política prevista, més l’estat no disponible per al protegit. Una bústia en memòria cau no demostra res sobre la petició següent, i una icona de VPN connectada només diu que existeix algun túnel.

Doneu a l’administrador els punts finals del compte de feina i el comportament que voleu per al correu personal, i després pregunteu quina política compatible conscient del compte, basada en domini o d’aplicació ho implementa. Observar com se sincronitzen els dos comptes en cada condició és l’única prova que la frontera que heu dissenyat és la frontera que la màquina imposa.