Mac Mail, dwa konta i jedna reguła VPN, która nie potrafi ich rozdzielić

Mail się otwiera, skrzynka służbowa synchronizuje się, a prywatna zaczyna przekraczać czas. Albo obie się synchronizują, ale serwer służbowy odpowiada tylko, gdy tunel jest podniesiony, a Mail nie wie, które konto jest które. Objaw ma zawsze ten sam kształt: jedna aplikacja, dwa konta i reguła, która identyfikuje aplikację. Naprawa zaczyna się od uznania, że aplikacja jest kontenerem, a nie granicą.

W grę wchodzą tu trzy selektory i nie są one wymienne. Jeden to proces nawiązujący połączenie, drugi to host, do którego dociera, a trzeci to tożsamość używana do logowania przez ten host. Ten, który twoja polityka potrafi nazwać, jest granicą, którą naprawdę możesz zbudować.

Dlaczego aplikacja jest złą jednostką

Mail to jeden proces obsługujący każde skonfigurowane konto. Reguła napisana przeciwko aplikacji przechwytuje wszystkie jej połączenia, więc konto prywatne dziedziczy tunel służbowy i jego trasę domyślną. Może to być akceptowalne, ale to decyzja, a nie efekt uboczny, który można zostawić bez zbadania.

Sprawdź, na co użytkownik naprawdę się skarży, zanim cokolwiek naprawisz. Skrzynka, która się synchronizuje, ale nie potrafi wysyłać, zwykle wskazuje na serwer wysyłający, a nie na skrzynkę odbiorczą, i oba mogą znajdować się pod różnymi adresami w tej samej puli prywatnej. Zapytaj, czy awaria dotyczy odbioru, wysyłania, czy obu. Odpowiedź decyduje, który punkt końcowy musi obejmować reguła, i oszczędza jedną wizytę u administratora serwera.

Gdy dwa konta używają różnych serwerów

Jeśli poczta służbowa rozmawia z hostem w puli firmowej, a poczta prywatna z publicznym dostawcą, układ oparty na celu może wyrazić wymaganie. Potrzebuje prawdziwych adresów serwerów poczty, DNS, który je rozwiązuje, oraz wszelkich punktów końcowych wysyłania lub uwierzytelniania towarzyszących tej samej usłudze. Zbierz wszystkie trzy przed pisaniem polityki, bo reguła obejmująca tylko skrzynkę odbiorczą zawiedzie przy pierwszym wysłaniu.

Używaj adresów, a nie części po znaku @. Domena w adresie poczty nie jest deklaracją routingu, a traktowanie jej jako takiej daje regułę, która uruchamia się dla złego hosta albo nigdy. Potwierdź rzeczywiste punkty końcowe w ustawieniach konta lub u administratora.

Gdy oba konta dzielą jeden serwer

Dwa konta pod tym samym adresem hosta całkowicie niweczą wybór oparty na celu. Trasa do tego adresu obsługuje każdego, kto się połączy, i nie potrafi sprawdzić, która skrzynka zaloguje się potem. Przesunięcie trasy przesuwa ścieżkę dla obu kont, i to jest dokładnie ten wynik, którego użytkownik chciał uniknąć.

W tym momencie uczciwe opcje to polityka świadoma konta, jeśli platforma i klient ją obsługują, osobny zatwierdzony klient poczty dla konta służbowego, aby granica aplikacji stała się rzeczywista, albo akceptacja, że oba konta podróżują razem. Wybierz jedną świadomie i powiedz którą.

Wywołanie tunelu to nie to samo co jego objęcie

Ładunek App Layer VPN firmy Apple dokumentuje ustawienie MailDomains: wymienione domeny powodują, że Mail wywołuje połączenie VPN we wspieranych wdrożeniach zarządzanych. To użyteczna możliwość i jest węższa, niż brzmi. Uruchamia tunel, gdy Mail rozmawia z tymi domenami; nie opisuje każdej trasy, każdego powiązania aplikacji ani tego, co dzieje się, gdy tunel jest wyłączony.

To także funkcja zarządzana, a nie pole wyboru dla każdego konta w interfejsie Mail. Jeśli wdrożenie nie jest zarządzane, ustawienie nie jest dla ciebie dostępne, a żadna ilość edycji profili go nie wytworzy.

Testuj świeżą synchronizacją, a nie buforowaną skrzynką

Testem akceptacyjnym jest świeża synchronizacja każdego konta w ramach zamierzonej polityki plus stan niedostępności dla konta chronionego. Buforowana skrzynka niczego nie dowodzi co do następnego żądania, a ikona połączonego VPN mówi tylko, że jakiś tunel istnieje.

Przekaż administratorowi punkty końcowe konta służbowego i zachowanie, jakiego chcesz dla poczty prywatnej, a potem zapytaj, która wspierana polityka świadoma konta, domeny lub aplikacji to realizuje. Obserwowanie, jak oba konta synchronizują się w każdym warunku, jest jedynym dowodem, że zaprojektowana granica jest granicą, którą wymusza maszyna.