Mac Mail, to kontoer og én VPN-regel som ikke kan skille dem

Mail åpnes, jobbinnboksen synkroniseres, og den personlige begynner å gå over tid. Eller begge synkroniseres, men jobbserveren svarer bare mens en tunnel er oppe, og Mail vet ikke hvilken konto som er hvilken. Symptomet har alltid samme form: én applikasjon, to kontoer og en regel som identifiserer applikasjonen. Rettelsen begynner med å innrømme at applikasjonen er en beholder, ikke en grense.

Tre selektorer er i spill her, og de er ikke utbyttbare. Én er prosessen som lager forbindelsen, en annen er verten den når, og den tredje er identiteten som brukes til å logge på over den verten. Hvilken av dem policyen din kan navngi, er grensen du faktisk kan bygge.

Hvorfor applikasjonen er feil enhet

Mail er én prosess som betjener hver konfigurerte konto. En regel skrevet mot applikasjonen fanger alle forbindelsene dens, så den personlige kontoen arver jobbtunnelen og standardruten. Det kan være akseptabelt, men det er en beslutning, ikke en bivirkning du kan la stå uundersøkt.

Sjekk hva brukeren faktisk klager på før du retter noe. En innboks som synkroniseres men ikke kan sende, peker vanligvis på innsendingsserveren og ikke innboksen, og begge kan ligge på forskjellige adresser innenfor samme private område. Spør om feilen er i mottak, sending eller begge. Svaret avgjør hvilket endepunkt regelen din må dekke, og det sparer en tur til den som administrerer serveren.

Når de to kontoene bruker forskjellige servere

Hvis jobbposten snakker med en vert i det bedriftsinterne området og personlig post med en offentlig leverandør, kan en destinasjonsbasert ordning uttrykke kravet. Den trenger de reelle adressene til postserverne, DNS-en som løser dem, og eventuelle innsendings- eller autentiseringsendepunkter som følger med samme tjeneste. Samle alle tre før du skriver policy, for en regel som bare dekker innboksen vil feile ved første sending.

Bruk adresser, ikke delen etter @-tegnet. Et domene i en postadresse er ikke en rutinguttalelse, og å behandle det som en gir en regel som utløses for feil vert eller aldri. Bekreft de faktiske endepunktene i kontoinnstillingene eller hos administratoren.

Når begge kontoene deler én server

To kontoer på samme vertsadresse beseirer destinasjonsbasert valg fullstendig. En rute til den adressen betjener alle som kobler til, og den kan ikke inspisere hvilken postkasse som logger på etterpå. Å flytte ruten flytter veien for begge kontoene, og det er nøyaktig utfallet brukeren prøvde å unngå.

På det tidspunktet er de ærlige alternativene en kontobevisst policy hvis plattformen og klienten støtter en, en separat godkjent postklient for jobbkontoen slik at applikasjonsgrensen blir reell, eller å akseptere at begge kontoene reiser sammen. Velg én bevisst og si hvilken.

Å utløse en tunnel er ikke det samme som å dekke den

Apples App Layer VPN-nyttelast dokumenterer en MailDomains-innstilling: oppførte domener får Mail til å utløse en VPN-tilkobling på støttede administrerte distribusjoner. Det er en nyttig egenskap, og den er smalere enn den høres ut. Den starter tunnelen når Mail snakker med de domenene; den beskriver ikke hver rute, hver apptilknytning eller hva som skjer mens tunnelen er nede.

Det er også en administrert funksjon, ikke en avkrysningsboks per konto i Mail-grensesnittet. Hvis distribusjonen ikke er administrert, er innstillingen ikke tilgjengelig for deg, og ingen mengde profilredigering vil frembringe den.

Test med en fersk synkronisering, ikke en bufret innboks

Akseptansetesten er en fersk synkronisering for hver konto under den tiltenkte policyen, pluss den utilgjengelige tilstanden for den beskyttede. En bufret innboks beviser ingenting om neste forespørsel, og et tilkoblet VPN-ikon sier bare at en eller annen tunnel finnes.

Gi administratoren endepunktene til jobbkontoen og oppførselen du ønsker for personlig post, og spør deretter hvilken støttet kontobevisst, domenebasert eller applikasjonspolicy som implementerer det. Å se de to kontoene synkronisere under hver betingelse er det eneste beviset for at grensen du designet er grensen maskinen håndhever.