Mac Mail, două conturi și o regulă VPN care nu le poate despărți

Mail se deschide, căsuța de serviciu se sincronizează, iar cea personală începe să depășească timpul. Sau ambele se sincronizează, dar serverul de serviciu răspunde doar cât timp un tunel este activ, iar Mail nu știe care cont este care. Simptomul are întotdeauna aceeași formă: o aplicație, două conturi și o regulă care identifică aplicația. Remedierea începe prin a recunoaște că aplicația este un container, nu o frontieră.

Aici intră în joc trei selectori și nu sunt interschimbabili. Unul este procesul care face conexiunea, altul este gazda pe care o atinge, iar al treilea este identitatea folosită pentru autentificare prin acea gazdă. Cel pe care politica voastră îl poate numi este frontiera pe care o puteți construi cu adevărat.

De ce aplicația este unitatea greșită

Mail este un singur proces care deservește fiecare cont configurat. O regulă scrisă împotriva aplicației captează toate conexiunile acesteia, așa că contul personal moștenește tunelul de serviciu și ruta sa implicită. Poate fi acceptabil, dar este o decizie, nu un efect secundar pe care îl puteți lăsa neexaminat.

Verificați de ce se plânge de fapt utilizatorul înainte de a repara ceva. O căsuță care se sincronizează dar nu poate trimite indică de obicei serverul de trimitere, nu căsuța de intrare, iar ambele pot fi la adrese diferite în același interval privat. Întrebați dacă defecțiunea este la primire, la trimitere sau la ambele. Răspunsul decide ce punct final trebuie să acopere regula, și economisește un drum la cel care administrează serverul.

Când cele două conturi folosesc servere diferite

Dacă poșta de serviciu vorbește cu o gazdă din intervalul corporativ și poșta personală cu un furnizor public, o aranjare bazată pe destinație poate exprima cerința. Are nevoie de adresele reale ale serverelor de poștă, de DNS-ul care le rezolvă și de orice puncte finale de trimitere sau autentificare care însoțesc același serviciu. Strângeți toate trei înainte de a scrie politica, pentru că o regulă care acoperă doar căsuța de intrare va eșua la prima trimitere.

Folosiți adrese, nu partea de după semnul @. Un domeniu dintr-o adresă de poștă nu este o declarație de rutare, iar tratarea lui ca atare produce o regulă care se declanșează pentru gazda greșită sau niciodată. Confirmați punctele finale reale din setările contului sau de la administrator.

Când ambele conturi împart un singur server

Două conturi pe aceeași adresă de gazdă anulează complet selecția bazată pe destinație. O rută către acea adresă servește pe oricine se conectează, și nu poate inspecta ce căsuță se autentifică mai târziu. Mutarea rutei mută calea pentru ambele conturi, și exact acesta este rezultatul pe care utilizatorul încerca să îl evite.

În acel moment, opțiunile oneste sunt o politică conștientă de cont dacă platforma și clientul o susțin, un client de poștă aprobat separat pentru contul de serviciu astfel încât frontiera aplicației să devină reală, sau acceptarea faptului că ambele conturi călătoresc împreună. Alegeți una deliberat și spuneți care.

Declanșarea unui tunel nu este același lucru cu acoperirea lui

Payload-ul App Layer VPN al Apple documentează o setare MailDomains: domeniile listate fac Mail să declanșeze o conexiune VPN în implementările gestionate acceptate. Este o capacitate utilă și este mai îngustă decât sună. Pornește tunelul când Mail vorbește cu acele domenii; nu descrie fiecare rută, fiecare asociere de aplicație sau ce se întâmplă cât timp tunelul este coborât.

Este și o funcție gestionată, nu o casetă pentru fiecare cont în interfața Mail. Dacă implementarea nu este gestionată, setarea nu vă este disponibilă, iar nicio cantitate de editare a profilelor nu o va produce.

Testați cu o sincronizare nouă, nu cu o căsuță din cache

Testul de acceptare este o sincronizare nouă pentru fiecare cont sub politica dorită, plus starea indisponibilă pentru cel protejat. O căsuță din cache nu dovedește nimic despre cererea următoare, iar o pictogramă VPN conectată spune doar că există un tunel oarecare.

Dați administratorului punctele finale ale contului de serviciu și comportamentul dorit pentru poșta personală, apoi întrebați ce politică acceptată, conștientă de cont, bazată pe domeniu sau de aplicație îl implementează. A observa cele două conturi sincronizându-se în fiecare condiție este singura dovadă că frontiera pe care ați proiectat-o este frontiera pe care o impune mașina.