Mac Mail, duas contas e uma regra VPN que não consegue separá-las
Uma regra ao nível da aplicação nomeia o Mail, não uma das suas contas. Separe a aplicação, o servidor e o início de sessão antes de pedir um túnel que siga o correio de trabalho.
O Mail abre, a caixa de trabalho sincroniza e a pessoal começa a esgotar o tempo. Ou ambas sincronizam, mas o servidor de trabalho só responde enquanto há um túnel, e o Mail não sabe qual conta é qual. O sintoma tem sempre a mesma forma: uma aplicação, duas contas e uma regra que identifica a aplicação. A correção começa por admitir que a aplicação é um contentor, não uma fronteira.
Aqui entram três seletores, e não são intercambiáveis. Um é o processo que faz a ligação, outro é o anfitrião que alcança, e o terceiro é a identidade usada para iniciar sessão através desse anfitrião. Aquele que a sua política conseguir nomear é a fronteira que realmente pode construir.
Porque a aplicação é a unidade errada
O Mail é um único processo que serve cada conta configurada. Uma regra escrita contra a aplicação capta todas as suas ligações, pelo que a conta pessoal herda o túnel de trabalho e a sua rota predefinida. Isso pode ser aceitável, mas é uma decisão, não um efeito secundário que possa deixar sem exame.
Verifique do que o utilizador se queixa realmente antes de corrigir seja o que for. Uma caixa que sincroniza mas não consegue enviar aponta normalmente para o servidor de envio e não para a caixa de entrada, e ambos podem estar em endereços diferentes dentro do mesmo intervalo privado. Pergunte se a falha está na receção, no envio ou em ambos. A resposta decide que extremo a regra tem de cobrir, e poupa uma deslocação a quem administra o servidor.
Quando as duas contas usam servidores diferentes
Se o correio de trabalho fala com um anfitrião dentro do intervalo corporativo e o correio pessoal com um fornecedor público, um arranjo baseado no destino pode expressar o requisito. Precisa dos endereços reais dos servidores de correio, do DNS que os resolve e de quaisquer extremos de envio ou autenticação que acompanhem o mesmo serviço. Reúna os três antes de escrever a política, porque uma regra que só cubra a caixa de entrada falhará no primeiro envio.
Use endereços, não a parte depois do sinal @. Um domínio num endereço de correio não é uma declaração de encaminhamento, e tratá-lo como tal produz uma regra que dispara para o anfitrião errado ou nunca dispara. Confirme os extremos reais nas definições da conta ou com o administrador.
Quando as duas contas partilham um servidor
Duas contas no mesmo endereço de anfitrião anulam por completo a seleção baseada no destino. Uma rota para esse endereço serve quem se ligar, e não consegue inspecionar que caixa inicia sessão depois. Mover a rota move o caminho para ambas as contas, e é exatamente o resultado que o utilizador queria evitar.
Nesse ponto, as opções honestas são uma política consciente da conta se a plataforma e o cliente apoiarem uma, um cliente de correio aprovado separado para a conta de trabalho para que a fronteira da aplicação se torne real, ou aceitar que as duas contas viajam juntas. Escolha uma deliberadamente e diga qual escolheu.
Acionar um túnel não é o mesmo que cobri-lo
O payload App Layer VPN da Apple documenta uma definição MailDomains: os domínios listados levam o Mail a acionar uma ligação VPN em implementações geridas suportadas. É uma capacidade útil, e é mais estreita do que parece. Inicia o túnel quando o Mail fala com esses domínios; não descreve cada rota, cada associação de aplicações nem o que acontece enquanto o túnel está em baixo.
É também uma funcionalidade gerida, não uma caixa por conta na interface do Mail. Se a implementação não for gerida, a definição não está disponível para si, e nenhuma quantidade de edição de perfis a produzirá.
Teste com uma sincronização nova, não com uma caixa em cache
O teste de aceitação é uma sincronização nova para cada conta sob a política pretendida, mais o estado indisponível para a protegida. Uma caixa em cache não prova nada sobre o pedido seguinte, e um ícone de VPN ligado diz apenas que existe algum túnel.
Dê ao administrador os extremos da conta de trabalho e o comportamento que quer para o correio pessoal, e depois pergunte que política suportada, consciente da conta, baseada em domínio ou de aplicação, o implementa. Ver as duas contas a sincronizar em cada condição é a única prova de que a fronteira que concebeu é a fronteira que a máquina impõe.