Mac Mail, twee accounts en één VPN-regel die ze niet kan scheiden

Mail opent, de werkbrievenbus synchroniseert en de persoonlijke begint te verlopen. Of beide synchroniseren, maar de werkserver antwoordt alleen zolang een tunnel actief is, en Mail weet niet welk account welk is. Het symptoom heeft altijd dezelfde vorm: één applicatie, twee accounts en een regel die de applicatie identificeert. De oplossing begint met de erkenning dat de applicatie een container is, geen grens.

Hier spelen drie selectors, en ze zijn niet uitwisselbaar. Eén is het proces dat de verbinding maakt, een ander is de host die het bereikt, en de derde is de identiteit die wordt gebruikt om via die host aan te melden. Welke daarvan uw beleid kan benoemen, is de grens die u werkelijk kunt bouwen.

Waarom de applicatie de verkeerde eenheid is

Mail is één proces dat elk geconfigureerd account bedient. Een regel tegen de applicatie vangt al zijn verbindingen, dus het persoonlijke account erft de werktunnel en de standaardroute. Dat kan aanvaardbaar zijn, maar het is een beslissing, geen bijwerking die u ononderzocht kunt laten.

Controleer waar de gebruiker werkelijk over klaagt voordat u iets repareert. Een brievenbus die synchroniseert maar niet kan verzenden wijst meestal op de verzendserver in plaats van de inbox, en beide kunnen op verschillende adressen binnen dezelfde privéreeks staan. Vraag of de fout bij ontvangen, verzenden of beide zit. Het antwoord bepaalt welk eindpunt uw regel moet dekken, en het bespaart een ritje naar wie de server beheert.

Wanneer de twee accounts verschillende servers gebruiken

Als werk-mail praat met een host binnen de bedrijfsreeks en persoonlijke mail met een openbare provider, kan een op bestemming gebaseerde regeling de eis uitdrukken. Die heeft de echte adressen van de mailservers nodig, de DNS die ze oplost, en eventuele verzend- of authenticatie-eindpunten die met dezelfde dienst meegaan. Verzamel alle drie voordat u beleid schrijft, want een regel die alleen de inbox dekt, faalt bij de eerste verzending.

Gebruik adressen, niet het deel na het @-teken. Een domein in een mailadres is geen routeringsverklaring, en het als zodanig behandelen levert een regel op die voor de verkeerde host afgaat of nooit. Bevestig de werkelijke eindpunten in de accountinstellingen of bij de beheerder.

Wanneer beide accounts één server delen

Twee accounts op hetzelfde hostadres verslaan op bestemming gebaseerde selectie volledig. Een route naar dat adres bedient iedereen die verbindt, en kan niet inspecteren welke brievenbus daarna aanmeldt. De route verplaatsen verplaatst het pad voor beide accounts, en dat is precies de uitkomst die de gebruiker wilde vermijden.

Op dat punt zijn de eerlijke opties een accountbewust beleid als het platform en de client er een ondersteunen, een apart goedgekeurd mailprogramma voor het werkaccount zodat de applicatiegrens echt wordt, of accepteren dat beide accounts samen reizen. Kies er één bewust en zeg welke.

Een tunnel starten is niet hetzelfde als hem dekken

Apple's App Layer VPN-payload documenteert een MailDomains-instelling: vermelde domeinen laten Mail een VPN-verbinding starten op ondersteunde beheerde implementaties. Dat is een nuttige mogelijkheid, en ze is smaller dan ze klinkt. Ze start de tunnel wanneer Mail met die domeinen praat; ze beschrijft niet elke route, elke app-koppeling of wat er gebeurt terwijl de tunnel neerligt.

Het is ook een beheerde functie, geen selectievakje per account in de Mail-interface. Als de implementatie niet beheerd is, is de instelling niet voor u beschikbaar, en geen enkele hoeveelheid profielbewerking zal haar opleveren.

Test met een verse synchronisatie, niet met een gecachte inbox

De acceptatietest is een verse synchronisatie voor elk account onder het beoogde beleid, plus de niet-beschikbare toestand voor het beschermde account. Een gecachte inbox bewijst niets over het volgende verzoek, en een verbonden VPN-pictogram zegt alleen dat er ergens een tunnel is.

Geef de beheerder de eindpunten van het werkaccount en het gedrag dat u voor persoonlijke mail wilt, en vraag dan welk ondersteund accountbewust, domeingebaseerd of applicatiebeleid dat implementeert. De twee accounts onder elke voorwaarde zien synchroniseren is het enige bewijs dat de grens die u ontwierp de grens is die de machine afdwingt.