Mejlet fungerar utan VPN: går det i hemlighet genom en tunnel?
Ett Exchange-konto väljer inte en gateway, ett protokoll eller en rutt. Fastställ driftsättningen, den publika ingången, det hanterade VPN:et eller den aktiva tunneln innan du antar något.
Mejl fortsätter att komma till en telefon som aldrig har visat en VPN-ikon, och den naturliga slutsatsen är att något osynligt tunnlar det. Vanligtvis är inget osynligt inblandat. Att lägga till ett Exchange-konto väljer inte en gateway, ett protokoll, ett certifikat eller en rutt, eftersom ett konto är en tjänsteidentitet och en tunnel är ett nätverksarrangemang som någon annan har konfigurerat. Det användbara draget är att fastställa vilket arrangemang du faktiskt har i stället för att leta efter en tunnel som aldrig fanns.
Tre arrangemang, en identisk skärm
Alla tre slutar med att mejl dyker upp på enheten, och inställningsskärmen ser likadan ut i varje fall. Det som skiljer är vem som konfigurerade vägen och vilket bevis som visar att den finns.
| Arrangement | Who set it up | What proves it |
|---|---|---|
| Approved public mail entry | The service owner, at the publishing layer | A published endpoint reached over TLS with its own authentication |
| Managed app or account VPN | Device management, as explicit policy | A profile binding that traffic to a VPN association |
| Already active tunnel | An always-on service or an earlier manual connect | Tunnel state plus routes and scope that include the mail destination |
Offentlig nåbarhet förtjänar en egen mening, eftersom den ständigt läses fel. En publicerad mejltjänst är inte en oautentiserad tjänst, och att mejl är nåbart säger ingenting om huruvida resten av företagsnätet är det. Det är separata beslut fattade av separata människor.
Vad enhetshantering faktiskt kan binda
Apples plattformar stöder VPN-regler per app och per mejldomän, och hanterad mejl på iOS eller iPadOS kan bära en kontospecifik VPN-koppling. Den kopplingen är en etableringsinställning med ett värde som någon har valt, och det är just därför den inte kan härledas genom att skriva in en e-postadress och ett lösenord i en telefon.
Android-hantering och tredjepartsklienter har egna app- och profilkontroller, och ingen av dem är utbytbar mot Apples kontonyttolaster. En policy som finns på en plattform måste medvetet återskapas på en annan. Den reser inte med mejlkontot och den kommer inte för att samma person loggade in på båda. Förväntan att den överföringen sker av sig själv ligger bakom en stor del av plattformöverskridande rapporter om att «det funkar på min telefon».
Identitet och transport hålls åtskilda
En mejltjänst och ett VPN kan lagligt dela en katalog eller en identitetsleverantör, och folk läser den delade inloggningen som bevis på en delad session. Det är den inte. Upprepad användarnamntext visar inte att mejlappen har ärvt en VPN-session, och det är ingen anledning att hitta på orelaterade lösenord för varje tjänst.
Båda tjänsterna kräver sin egen autentisering, på sina egna villkor. En lyckad mejlinloggning bör aldrig behandlas som något att klistra in i en VPN-klient, och en tunnel som kom upp säger ingenting om vilket konto mejlservern kommer att acceptera. Intune-referensen för mejlprofil är en bra illustration här, eftersom den behandlar VPN-kopplingen som en separat inställning och inte som en egenskap härledd från kontonamnet.
Färsk synkronisering slår en cachad inkorg
En cachad inkorg kan se helt frisk ut utan någon aktuell väg alls, och därför bevisar det ingenting att öppna appen och se förra veckans meddelanden. Använd ett godkänt test för färsk synkronisering och läs status- eller loggbeviset som följer med.
Kontrollera sedan de fyra saker som faktiskt avgör resultatet: tjänsteslutpunkten som är konfigurerad, vad resolvern returnerar, vilken hanterad profil som gäller och aktuellt VPN-läge. Gör det i rätt sammanhang, eftersom en personlig mejlapp med liknande namn inte styrs av arbetsappens nätverkspolicy och kommer att bete sig annorlunda av helt legitima skäl. Att blanda dessa två sammanhang är hur en fungerande konfiguration rapporteras som trasig. Det förklarar också de flesta fall där en app lyder en policy och dess nästan namne ignorerar den.
Skriv ned vad du verifierade
Om åtkomst ska kräva en tunnel bör ägaren bekräfta både den tillåtna privata vägen och beteendet utan den. Om tjänsten medvetet är publicerad, behåll dess TLS-validering, autentisering och åtkomstkontroller på plats i stället för att behandla avsaknaden av en tunnel som bevis på att mejl inte är krypterat.
Supportposten bör namnge mejlprodukten, slutpunkten, kontots omfattning och anslutningspolicyn. Identiska lösenord är inte bevis för någon av dessa fyra, och det är den vanligaste anledningen till att ett ärende innehåller fyra stycken och inga fakta.