E-post fungerer utan VPN: går han i løynd gjennom ein tunnel?
Ein Exchange-konto vel ikkje ein gateway, ein protokoll eller ei rute. Fastslå utrullinga, den offentlege inngangen, den styrte VPN-en eller den aktive tunnelen før du antek noko.
E-post held fram med å kome til ein telefon som aldri har vist eit VPN-ikon, og den naturlege konklusjonen er at noko usynleg tunnelerer han. Vanlegvis er det ikkje noko usynleg med i biletet. Å leggje til ein Exchange-konto vel ikkje ein gateway, ein protokoll, eit sertifikat eller ei rute, fordi ein konto er ein tenesteidentitet og ein tunnel er eit nettverksoppsett som nokon andre har konfigurert. Det nyttige trekket er å fastslå kva oppsett du faktisk har, i staden for å leite etter ein tunnel som aldri var der.
Tre oppsett, éin identisk skjerm
Alle tre endar med at e-post dukkar opp på eininga, og innstillingsskjermen ser lik ut i kvart tilfelle. Det som er ulikt, er kven som konfigurerte vegen og kva prov som viser at han finst.
| Arrangement | Who set it up | What proves it |
|---|---|---|
| Approved public mail entry | The service owner, at the publishing layer | A published endpoint reached over TLS with its own authentication |
| Managed app or account VPN | Device management, as explicit policy | A profile binding that traffic to a VPN association |
| Already active tunnel | An always-on service or an earlier manual connect | Tunnel state plus routes and scope that include the mail destination |
Offentleg tilgjenge fortener si eiga setning, fordi ho stadig vert lesen feil. Ein publisert e-postteneste er ikkje ei teneste utan autentisering, og at e-post er tilgjengeleg seier ingenting om resten av bedriftsnettet er det. Dette er separate avgjerder tekne av separate personar.
Kva einingstyring faktisk kan binde
Apple-plattformer støttar VPN-reglar per app og per e-postdomene, og styrt e-post på iOS eller iPadOS kan bere ein kontospesifikk VPN-tilknyting. Den tilknytinga er ei klargjeringsinnstilling med ein verdi nokon har valt, og det er nettopp derfor ho ikkje kan utleiast ved å skrive inn ein e-postadresse og eit passord på ein telefon.
Android-styring og tredjepartsklientar har sine eigne app- og profilkontrollar, og ingen av dei er utskiftbare med Apples kontonyttelaster. Ein politikk som finst på éin plattform, må med vilje gjerast på nytt på ein annan. Han reiser ikkje med e-postkontoen, og han kjem ikkje fordi den same personen logga på begge. Forventninga om at denne overføringa skjer av seg sjølv, ligg bak ein stor del av plattformovergripande rapportar om at «det virkar på telefonen min».
Identitet og transport held seg åtskilde
Ein e-postteneste og ein VPN kan lovleg dele ein katalog eller ein identitetsleverandør, og folk les den felles pålogginga som prov på ein felles sesjon. Det er han ikkje. Gjenteke brukarnamntekst viser ikkje at e-postappen har arva ein VPN-sesjon, og det er inga grunn til å finne opp urelaterte passord for kvar teneste.
Begge tenestene krev si eiga autentisering, på eigne vilkår. Ei vellukka e-postpålogging bør aldri handsamast som noko som skal limast inn i ein VPN-klient, og ein tunnel som kom opp seier ingenting om kva konto e-posttenaren vil godta. Intune-referansen for e-postprofil er eit nyttig døme her, fordi han handsamar VPN-tilknytinga som ei eiga innstilling og ikkje som ein eigenskap utleia frå kontonamnet.
Fersk synkronisering slår ein bufra innboks
Ein bufra innboks kan sjå heilt sunn ut utan nokon gjeldande veg i det heile, og difor provar det ingenting å opne appen og sjå meldingane frå førre veke. Bruk ein godkjend test for fersk synkronisering og les status- eller loggprovet som følgjer med.
Kontroller deretter dei fire tinga som faktisk avgjer utfallet: tenestesluttpunktet som er konfigurert, kva oppslaget returnerer, kva styrt profil som gjeld, og gjeldande VPN-tilstand. Gjer det i rett kontekst, fordi ein personleg e-postapp med liknande namn ikkje vert styrt av nettverkspolitikken til arbeidsappen og vil oppføre seg annleis av heilt legitime grunnar. Å blande desse to kontekstane er korleis ein fungerande konfigurasjon vert rapportert som øydelagd. Det forklarer òg dei fleste tilfella der éin app lyder ein politikk og nesten-namnbroren hans ignorerer han.
Skriv ned kva du verifiserte
Viss tilgang skal krevje ein tunnel, bør eigaren stadfeste både den tillatne private vegen og åtferda utan han. Viss tenesta med vilje er publisert, hald TLS-validering, autentisering og tilgangskontrollar på plass i staden for å handsame fråværet av ein tunnel som prov på at e-post er ukryptert.
Støtterekorden bør namngje e-postproduktet, sluttpunktet, omfanget av kontoen og tilkoplingspolitikken. Identiske passord er ikkje prov for nokon av dei fire, og det er den vanlegaste grunnen til at ei sak inneheld fire avsnitt og ingen fakta.