Mac Mail, due account e una regola VPN che non può separarli

Mail si apre, la casella di lavoro si sincronizza e quella personale inizia a scadere. Oppure entrambe si sincronizzano, ma il server di lavoro risponde solo finché un tunnel è attivo, e Mail non sa quale account è quale. Il sintomo ha sempre la stessa forma: un’applicazione, due account e una regola che identifica l’applicazione. La correzione parte dall’ammettere che l’applicazione è un contenitore, non un confine.

Qui entrano in gioco tre selettori, e non sono intercambiabili. Uno è il processo che effettua la connessione, un altro è l’host che raggiunge, e il terzo è l’identità usata per accedere tramite quell’host. Quello che la vostra policy riesce a nominare è il confine che potete davvero costruire.

Perché l’applicazione è l’unità sbagliata

Mail è un unico processo che serve ogni account configurato. Una regola scritta contro l’applicazione cattura tutte le sue connessioni, quindi l’account personale eredita il tunnel di lavoro e la sua rotta predefinita. Può essere accettabile, ma è una decisione, non un effetto collaterale che potete lasciare inesaminato.

Verificate di cosa si lamenta davvero l’utente prima di correggere qualsiasi cosa. Una casella che si sincronizza ma non riesce a inviare di solito punta al server di invio invece che alla posta in arrivo, e entrambi possono trovarsi su indirizzi diversi nella stessa rete privata. Chiedete se il guasto riguarda la ricezione, l’invio o entrambi. La risposta decide quale estremo la regola deve coprire, e risparmia un giro con chi amministra il server.

Quando i due account usano server diversi

Se la posta di lavoro parla con un host nella rete aziendale e quella personale con un provider pubblico, un assetto basato sulla destinazione può esprimere il requisito. Servono gli indirizzi reali dei server di posta, il DNS che li risolve e qualsiasi estremo di invio o autenticazione che accompagna lo stesso servizio. Raccogliete tutti e tre prima di scrivere la policy, perché una regola che copre solo la casella in arrivo fallirà al primo invio.

Usate gli indirizzi, non la parte dopo il segno @. Un dominio in un indirizzo di posta non è una dichiarazione di routing, e trattarlo come tale produce una regola che scatta per l’host sbagliato o non scatta mai. Confermate gli estremi reali dalle impostazioni dell’account o dall’amministratore.

Quando i due account condividono un solo server

Due account sullo stesso indirizzo host annullano del tutto la selezione basata sulla destinazione. Una rotta verso quell’indirizzo serve chiunque si connetta, e non può ispezionare quale casella accede dopo. Spostare la rotta sposta il percorso per entrambi gli account, ed è esattamente il risultato che l’utente voleva evitare.

A quel punto le opzioni oneste sono una policy consapevole dell’account se la piattaforma e il client ne supportano una, un client di posta approvato separato per l’account di lavoro così che il confine dell’applicazione diventi reale, oppure accettare che i due account viaggino insieme. Sceglietene una deliberatamente e dite quale.

Attivare un tunnel non è la stessa cosa che coprirlo

Il payload App Layer VPN di Apple documenta un’impostazione MailDomains: i domini elencati fanno attivare a Mail una connessione VPN nelle distribuzioni gestite supportate. È una capacità utile, ed è più stretta di quanto sembri. Avvia il tunnel quando Mail parla con quei domini; non descrive ogni rotta, ogni associazione di app o ciò che accade mentre il tunnel è abbassato.

È anche una funzione gestita, non una casella per account nell’interfaccia di Mail. Se la distribuzione non è gestita, l’impostazione non è disponibile, e nessuna quantità di modifica dei profili la produrrà.

Provate con una sincronizzazione nuova, non con una casella in cache

Il test di accettazione è una sincronizzazione nuova per ogni account secondo la policy prevista, più lo stato non disponibile per quello protetto. Una casella in cache non dimostra nulla sulla richiesta successiva, e un’icona VPN connessa dice solo che esiste un tunnel.

Date all’amministratore gli estremi dell’account di lavoro e il comportamento che volete per la posta personale, poi chiedete quale policy supportata, consapevole dell’account, basata sul dominio o sull’applicazione, lo implementa. Osservare i due account sincronizzarsi in ogni condizione è l’unica prova che il confine progettato è quello che la macchina impone.