Mac Mail, dua akun, dan satu aturan VPN yang tidak bisa memisahkannya

Mail terbuka, kotak masuk kerja tersinkron, dan yang pribadi mulai kehabisan waktu. Atau keduanya tersinkron, tetapi server kerja hanya menjawab selama terowongan aktif, dan Mail tidak tahu akun mana yang mana. Gejalanya selalu berbentuk sama: satu aplikasi, dua akun, dan aturan yang mengidentifikasi aplikasi. Perbaikannya dimulai dengan mengakui bahwa aplikasi adalah wadah, bukan batas.

Ada tiga pemilih yang berperan di sini, dan ketiganya tidak bisa saling menggantikan. Satu adalah proses yang membuat koneksi, satu lagi adalah host yang dituju, dan yang ketiga adalah identitas yang dipakai untuk masuk melalui host itu. Mana pun yang bisa disebut oleh kebijakan Anda, itulah batas yang benar-benar bisa Anda bangun.

Mengapa aplikasi adalah unit yang salah

Mail adalah satu proses yang melayani setiap akun yang dikonfigurasi. Aturan yang ditulis terhadap aplikasi menangkap semua koneksinya, sehingga akun pribadi mewarisi terowongan kerja dan rute bawaannya. Itu bisa diterima, tetapi itu keputusan, bukan efek samping yang boleh dibiarkan tanpa diperiksa.

Periksa apa yang sebenarnya dikeluhkan pengguna sebelum memperbaiki apa pun. Kotak masuk yang tersinkron tetapi tidak bisa mengirim biasanya menunjuk ke server pengiriman, bukan ke kotak masuk, dan keduanya bisa berada di alamat berbeda dalam rentang privat yang sama. Tanyakan apakah kegagalannya pada penerimaan, pengiriman, atau keduanya. Jawabannya menentukan titik akhir mana yang harus dicakup aturan Anda, dan itu menghemat satu bolak-balik dengan pengelola server.

Ketika kedua akun memakai server berbeda

Jika email kerja berbicara dengan host di dalam rentang perusahaan dan email pribadi dengan penyedia publik, pengaturan berbasis tujuan bisa menyatakan persyaratannya. Ia membutuhkan alamat sebenarnya dari server email, DNS yang menyelesaikannya, dan titik akhir pengiriman atau autentikasi apa pun yang menyertai layanan yang sama. Kumpulkan ketiganya sebelum menulis kebijakan, karena aturan yang hanya mencakup kotak masuk akan gagal pada pengiriman pertama.

Gunakan alamat, bukan bagian setelah tanda @. Domain dalam alamat email bukan pernyataan perutean, dan memperlakukannya sebagai itu menghasilkan aturan yang menyala untuk host yang salah atau tidak pernah menyala. Pastikan titik akhir sebenarnya dari pengaturan akun atau dari administrator.

Ketika kedua akun berbagi satu server

Dua akun pada alamat host yang sama sepenuhnya mengalahkan pemilihan berbasis tujuan. Rute ke alamat itu melayani siapa pun yang terhubung, dan ia tidak bisa memeriksa kotak mana yang masuk setelahnya. Memindahkan rute memindahkan jalur bagi kedua akun, dan itulah tepatnya hasil yang ingin dihindari pengguna.

Pada titik itu, pilihan jujurnya adalah kebijakan sadar akun jika platform dan klien mendukungnya, klien email terpisah yang disetujui untuk akun kerja agar batas aplikasi menjadi nyata, atau menerima bahwa kedua akun bepergian bersama. Pilih satu dengan sengaja dan sebutkan yang mana.

Memicu terowongan tidak sama dengan mencakupnya

Payload App Layer VPN Apple mendokumentasikan pengaturan MailDomains: domain yang terdaftar membuat Mail memicu koneksi VPN pada penerapan terkelola yang didukung. Itu kemampuan yang berguna, dan cakupannya lebih sempit daripada kedengarannya. Ia memulai terowongan ketika Mail berbicara dengan domain itu; ia tidak menjelaskan setiap rute, setiap asosiasi aplikasi, atau apa yang terjadi saat terowongan mati.

Itu juga fitur terkelola, bukan kotak centang per akun di antarmuka Mail. Jika penerapannya tidak terkelola, pengaturan itu tidak tersedia bagi Anda, dan sebanyak apa pun penyuntingan profil tidak akan menghasilkannya.

Uji dengan sinkronisasi baru, bukan kotak masuk yang di-cache

Uji penerimaannya adalah sinkronisasi baru untuk setiap akun di bawah kebijakan yang dimaksud, ditambah status tidak tersedia untuk akun yang dilindungi. Kotak masuk yang di-cache tidak membuktikan apa pun tentang permintaan berikutnya, dan ikon VPN yang terhubung hanya menyatakan bahwa suatu terowongan ada.

Beri administrator titik akhir akun kerja dan perilaku yang Anda inginkan untuk email pribadi, lalu tanyakan kebijakan sadar akun, berbasis domain, atau berbasis aplikasi yang didukung mana yang menerapkannya. Mengamati kedua akun tersinkron pada setiap kondisi adalah satu-satunya bukti bahwa batas yang Anda rancang adalah batas yang ditegakkan mesin.