Mac Mail, två konton och en VPN-regel som inte kan skilja dem

Mail öppnas, arbetsinkorgen synkroniseras och den personliga börjar överskrida tiden. Eller så synkroniseras båda, men arbetsservern svarar bara medan en tunnel är uppe, och Mail vet inte vilket konto som är vilket. Symtomet har alltid samma form: en applikation, två konton och en regel som identifierar applikationen. Rättningen börjar med att erkänna att applikationen är en behållare, inte en gräns.

Tre selektorer är i spel här, och de är inte utbytbara. En är processen som skapar anslutningen, en annan är värden den når, och den tredje är identiteten som används för att logga in över den värden. Vilken av dem din policy kan namnge är den gräns du faktiskt kan bygga.

Varför applikationen är fel enhet

Mail är en enda process som betjänar varje konfigurerat konto. En regel skriven mot applikationen fångar alla dess anslutningar, så det personliga kontot ärver arbetstunneln och dess standardrutt. Det kan vara acceptabelt, men det är ett beslut, inte en bieffekt du kan lämna oundersökt.

Kontrollera vad användaren faktiskt klagar på innan du rättar något. En inkorg som synkroniseras men inte kan skicka pekar vanligtvis på utskicksservern och inte på inkorgen, och båda kan ligga på olika adresser inom samma privata intervall. Fråga om felet gäller mottagning, sändning eller båda. Svaret avgör vilken slutpunkt din regel måste täcka, och det sparar ett besök hos den som administrerar servern.

När de två kontona använder olika servrar

Om arbetsmejlen talar med en värd inom företagsintervallet och den personliga mejlen med en offentlig leverantör, kan ett destinationsbaserat arrangemang uttrycka kravet. Det behöver de faktiska adresserna till mejlservrarna, DNS:en som löser dem och eventuella utskicks- eller autentiseringsslutpunkter som följer med samma tjänst. Samla alla tre innan du skriver policy, för en regel som bara täcker inkorgen kommer att misslyckas vid första sändningen.

Använd adresser, inte delen efter @-tecknet. En domän i en mejladress är inte ett routingspåstående, och att behandla den som ett ger en regel som utlöses för fel värd eller aldrig. Bekräfta de faktiska slutpunkterna i kontoinställningarna eller hos administratören.

När båda kontona delar en server

Två konton på samma värdadress besegrar destinationsbaserat val helt. En rutt till den adressen betjänar alla som ansluter, och den kan inte inspektera vilken inkorg som loggar in efteråt. Att flytta rutten flyttar vägen för båda kontona, och det är precis det utfall användaren försökte undvika.

Vid den punkten är de ärliga alternativen en kontomedveten policy om plattformen och klienten stöder en, en separat godkänd mejlklient för arbetskontot så att applikationsgränsen blir verklig, eller att acceptera att båda kontona reser tillsammans. Välj en medvetet och säg vilken.

Att utlösa en tunnel är inte samma sak som att täcka den

Apples App Layer VPN-nyttolast dokumenterar en MailDomains-inställning: listade domäner får Mail att utlösa en VPN-anslutning i stödda hanterade distributioner. Det är en användbar förmåga, och den är smalare än den låter. Den startar tunneln när Mail talar med dessa domäner; den beskriver inte varje rutt, varje appkoppling eller vad som händer medan tunneln är nere.

Det är också en hanterad funktion, inte en kryssruta per konto i Mail-gränssnittet. Om distributionen inte är hanterad är inställningen inte tillgänglig för dig, och ingen mängd profilredigering kommer att frambringa den.

Testa med en färsk synkronisering, inte en cachad inkorg

Acceptanstestet är en färsk synkronisering för varje konto under den avsedda policyn, plus det otillgängliga tillståndet för det skyddade. En cachad inkorg bevisar ingenting om nästa begäran, och en ansluten VPN-ikon säger bara att någon tunnel finns.

Ge administratören arbetskontots slutpunkter och det beteende du vill ha för personlig mejl, fråga sedan vilken stödd kontomedveten, domänbaserad eller applikationspolicy som implementerar det. Att se de två kontona synkroniseras under varje villkor är det enda beviset för att gränsen du designade är gränsen maskinen upprätthåller.