Mac Mail, dos cuentas y una regla VPN que no puede separarlas

Mail se abre, la bandeja del trabajo se sincroniza y la personal empieza a agotar el tiempo. O ambas se sincronizan, pero el servidor del trabajo solo responde mientras hay un túnel, y Mail no sabe qué cuenta es cuál. El síntoma siempre tiene la misma forma: una aplicación, dos cuentas y una regla que identifica la aplicación. La solución empieza por admitir que la aplicación es un contenedor, no una frontera.

Aquí entran en juego tres selectores, y no son intercambiables. Uno es el proceso que hace la conexión, otro es el host al que llega, y el tercero es la identidad que se usa para iniciar sesión a través de ese host. El que su política pueda nombrar es la frontera que realmente puede construir.

Por qué la aplicación es la unidad equivocada

Mail es un único proceso que atiende cada cuenta configurada. Una regla escrita contra la aplicación captura todas sus conexiones, así que la cuenta personal hereda el túnel del trabajo y su ruta predeterminada. Eso puede ser aceptable, pero es una decisión, no un efecto secundario que pueda dejar sin examinar.

Compruebe de qué se queja realmente el usuario antes de corregir nada. Una bandeja que se sincroniza pero no puede enviar suele apuntar al servidor de envío en lugar de la bandeja de entrada, y ambos pueden estar en direcciones distintas dentro del mismo rango privado. Pregunte si el fallo está en recibir, en enviar o en ambas cosas. La respuesta decide qué extremo debe cubrir su regla, y ahorra un viaje con quien administra el servidor.

Cuando las dos cuentas usan servidores distintos

Si el correo del trabajo habla con un host dentro del rango corporativo y el correo personal con un proveedor público, un arreglo basado en el destino puede expresar el requisito. Necesita las direcciones reales de los servidores de correo, el DNS que las resuelve y cualquier extremo de envío o autenticación que acompañe al mismo servicio. Reúna los tres antes de escribir la política, porque una regla que solo cubra la bandeja de entrada fallará en el primer envío.

Use direcciones, no la parte posterior al signo @. Un dominio en una dirección de correo no es una declaración de enrutamiento, y tratarlo como tal produce una regla que se activa para el host equivocado o que nunca se activa. Confirme los extremos reales en la configuración de la cuenta o con el administrador.

Cuando ambas cuentas comparten un servidor

Dos cuentas en la misma dirección de host anulan por completo la selección basada en el destino. Una ruta a esa dirección sirve a quien se conecte, y no puede inspeccionar qué buzón inicia sesión después. Mover la ruta mueve el camino para ambas cuentas, y ese es exactamente el resultado que el usuario quería evitar.

En ese punto, las opciones honestas son una política consciente de la cuenta si la plataforma y el cliente admiten una, un cliente de correo aprobado aparte para la cuenta del trabajo de modo que la frontera de la aplicación sea real, o aceptar que ambas cuentas viajan juntas. Elija una a propósito y diga cuál eligió.

Desencadenar un túnel no es lo mismo que cubrirlo

La carga útil App Layer VPN de Apple documenta un ajuste MailDomains: los dominios listados hacen que Mail desencadene una conexión VPN en despliegues gestionados compatibles. Es una capacidad útil, y es más estrecha de lo que suena. Inicia el túnel cuando Mail habla con esos dominios; no describe cada ruta, cada asociación de aplicaciones ni qué ocurre mientras el túnel está caído.

También es una función gestionada, no una casilla por cuenta en la interfaz de Mail. Si el despliegue no está gestionado, el ajuste no está disponible para usted, y ninguna cantidad de edición de perfiles lo producirá.

Pruebe con una sincronización nueva, no con una bandeja en caché

La prueba de aceptación es una sincronización nueva para cada cuenta bajo la política prevista, más el estado no disponible para la protegida. Una bandeja en caché no demuestra nada sobre la siguiente solicitud, y un icono de VPN conectada solo dice que existe algún túnel.

Dé al administrador los extremos de la cuenta del trabajo y el comportamiento que quiere para el correo personal, y luego pregunte qué política compatible consciente de la cuenta, basada en dominio o de aplicación lo implementa. Observar cómo se sincronizan las dos cuentas en cada condición es la única prueba de que la frontera que diseñó es la frontera que la máquina impone.