Mac Mail, zwei Konten, eine VPN-Regel, die sie nicht trennen kann

Mail öffnet sich, das Arbeitspostfach synchronisiert, und das private beginnt in einen Timeout zu laufen. Oder beide synchronisieren, aber der Arbeitsserver antwortet nur, solange ein Tunnel steht, und Mail weiß nicht, welches Konto welches ist. Das Symptom hat immer dieselbe Form: eine Anwendung, zwei Konten und eine Regel, die die Anwendung identifiziert. Die Lösung beginnt mit dem Eingeständnis, dass die Anwendung ein Container ist, keine Grenze.

Hier spielen drei Selektoren eine Rolle, und sie sind nicht austauschbar. Einer ist der Prozess, der die Verbindung aufbaut, ein anderer ist der Host, den er erreicht, und der dritte ist die Identität, mit der man sich über diesen Host anmeldet. Welchen davon Ihre Richtlinie benennen kann, ist die Grenze, die Sie tatsächlich bauen können.

Warum die Anwendung die falsche Einheit ist

Mail ist ein einziger Prozess, der jedes eingerichtete Konto bedient. Eine Regel, die gegen die Anwendung geschrieben ist, erfasst alle ihre Verbindungen, sodass das private Konto den Arbeits-Tunnel und dessen Standardroute erbt. Das kann akzeptabel sein, aber es ist eine Entscheidung, kein Nebeneffekt, den man ungeprüft lassen sollte.

Prüfen Sie, worüber sich der Benutzer tatsächlich beschwert, bevor Sie etwas reparieren. Ein Postfach, das synchronisiert, aber nicht senden kann, deutet meist auf den Einreichungsserver statt auf den Posteingang hin, und beide können unter verschiedenen Adressen im selben privaten Bereich liegen. Fragen Sie, ob das Problem beim Empfangen, beim Senden oder bei beidem liegt. Die Antwort entscheidet, welchen Endpunkt Ihre Regel abdecken muss, und sie spart eine Rückfrage beim Serveradministrator.

Wenn die beiden Konten verschiedene Server nutzen

Wenn Arbeitsmail mit einem Host im Firmennetz spricht und private Mail mit einem öffentlichen Anbieter, kann eine zielbasierte Regelung die Anforderung ausdrücken. Sie braucht die echten Adressen der Mailserver, das DNS, das sie auflöst, und alle Einreichungs- oder Authentifizierungsendpunkte, die zum selben Dienst gehören. Sammeln Sie alle drei, bevor Sie die Richtlinie schreiben, denn eine Regel, die nur den Posteingang abdeckt, scheitert beim ersten Senden.

Verwenden Sie Adressen, nicht den Teil nach dem @-Zeichen. Eine Domäne in einer Mailadresse ist keine Routing-Aussage, und wenn man sie dafür hält, entsteht eine Regel, die für den falschen Host greift oder gar nicht. Bestätigen Sie die tatsächlichen Endpunkte in den Kontoeinstellungen oder beim Administrator.

Wenn beide Konten einen Server teilen

Zwei Konten auf derselben Hostadresse hebeln die zielbasierte Auswahl vollständig aus. Eine Route zu dieser Adresse bedient jeden, der sich verbindet, und sie kann nicht prüfen, welches Postfach sich danach anmeldet. Die Route zu verschieben verschiebt den Pfad für beide Konten, und genau das wollte der Benutzer vermeiden.

An diesem Punkt sind die ehrlichen Optionen eine kontobewusste Richtlinie, falls Plattform und Client eine unterstützen, ein separater zugelassener Mailclient für das Arbeitskonto, damit die Anwendungsgrenze real wird, oder die Akzeptanz, dass beide Konten gemeinsam unterwegs sind. Wählen Sie eine bewusst und sagen Sie, welche.

Einen Tunnel auslösen ist nicht dasselbe wie ihn abdecken

Apples App-Layer-VPN-Payload dokumentiert eine MailDomains-Einstellung: Aufgeführte Domänen veranlassen Mail, in unterstützten verwalteten Installationen eine VPN-Verbindung auszulösen. Das ist eine nützliche Fähigkeit, und sie ist enger, als sie klingt. Sie startet den Tunnel, wenn Mail mit diesen Domänen spricht; sie beschreibt nicht jede Route, jede App-Zuordnung oder was passiert, während der Tunnel unten ist.

Sie ist außerdem eine verwaltete Funktion, kein Kontrollkästchen pro Konto in der Mail-Oberfläche. Ist die Installation nicht verwaltet, steht die Einstellung nicht zur Verfügung, und kein noch so langes Bearbeiten von Profilen wird sie erzeugen.

Mit einer frischen Synchronisierung testen, nicht mit einem Cache-Postfach

Der Abnahmetest ist eine frische Synchronisierung für jedes Konto unter der beabsichtigten Richtlinie, plus der nicht verfügbare Zustand für das geschützte. Ein zwischengespeichertes Postfach beweist nichts über die nächste Anfrage, und ein verbundenes VPN-Symbol sagt nur, dass irgendein Tunnel existiert.

Geben Sie dem Administrator die Endpunkte des Arbeitskontos und das gewünschte Verhalten für private Mail und fragen Sie, welche unterstützte kontobewusste, domänenbasierte oder anwendungsbezogene Richtlinie das umsetzt. Zu beobachten, wie beide Konten unter jeder Bedingung synchronisieren, ist der einzige Beleg dafür, dass die von Ihnen entworfene Grenze die Grenze ist, die die Maschine durchsetzt.