Mac Mail, hai tài khoản và một quy tắc VPN không thể tách chúng

Mail mở ra, hộp thư công việc đồng bộ, còn hộp thư cá nhân bắt đầu quá thời gian. Hoặc cả hai đồng bộ, nhưng máy chủ công việc chỉ trả lời khi có đường hầm, và Mail không biết tài khoản nào là tài khoản nào. Triệu chứng luôn có cùng một dạng: một ứng dụng, hai tài khoản và một quy tắc nhận diện ứng dụng. Việc sửa bắt đầu bằng việc thừa nhận ứng dụng là một vật chứa, không phải một ranh giới.

Ba bộ chọn đang tham gia ở đây, và chúng không thể thay thế cho nhau. Một là tiến trình tạo kết nối, một là máy chủ mà nó tiếp cận, và thứ ba là danh tính được dùng để đăng nhập qua máy chủ đó. Bộ nào chính sách của bạn có thể gọi tên thì đó là ranh giới bạn thực sự có thể xây.

Vì sao ứng dụng là đơn vị sai

Mail là một tiến trình duy nhất phục vụ mọi tài khoản đã cấu hình. Một quy tắc viết theo ứng dụng sẽ bắt mọi kết nối của nó, nên tài khoản cá nhân thừa hưởng đường hầm công việc và tuyến mặc định của nó. Điều đó có thể chấp nhận được, nhưng đó là một quyết định, không phải tác dụng phụ có thể bỏ qua mà không xem xét.

Hãy kiểm tra người dùng thực sự phàn nàn điều gì trước khi sửa bất cứ thứ gì. Một hộp thư đồng bộ được nhưng không gửi được thường chỉ vào máy chủ gửi chứ không phải hộp thư đến, và cả hai có thể nằm ở các địa chỉ khác nhau trong cùng một dải riêng. Hỏi xem lỗi nằm ở nhận, gửi hay cả hai. Câu trả lời quyết định điểm cuối nào mà quy tắc phải bao phủ, và nó tiết kiệm một lượt trao đổi với người quản trị máy chủ.

Khi hai tài khoản dùng máy chủ khác nhau

Nếu thư công việc nói chuyện với một máy chủ trong dải của công ty và thư cá nhân nói chuyện với một nhà cung cấp công cộng, một cách bố trí dựa trên đích đến có thể diễn đạt yêu cầu. Nó cần địa chỉ thật của các máy chủ thư, DNS phân giải chúng, và mọi điểm cuối gửi hoặc xác thực đi kèm cùng dịch vụ. Thu thập cả ba trước khi viết chính sách, vì một quy tắc chỉ bao phủ hộp thư đến sẽ thất bại ở lần gửi đầu tiên.

Dùng địa chỉ, không phải phần sau dấu @. Một tên miền trong địa chỉ thư không phải là tuyên bố định tuyến, và coi nó như vậy sẽ tạo ra một quy tắc kích hoạt cho máy chủ sai hoặc không bao giờ kích hoạt. Xác nhận các điểm cuối thực tế từ cài đặt tài khoản hoặc từ người quản trị.

Khi cả hai tài khoản dùng chung một máy chủ

Hai tài khoản trên cùng một địa chỉ máy chủ đánh bại hoàn toàn việc chọn theo đích đến. Một tuyến tới địa chỉ đó phục vụ bất kỳ ai kết nối, và nó không thể kiểm tra hộp thư nào đăng nhập sau đó. Di chuyển tuyến sẽ di chuyển đường đi cho cả hai tài khoản, và đó chính là kết quả mà người dùng muốn tránh.

Ở thời điểm đó, các lựa chọn trung thực là một chính sách nhận biết tài khoản nếu nền tảng và ứng dụng khách hỗ trợ, một ứng dụng thư riêng đã được phê duyệt cho tài khoản công việc để ranh giới ứng dụng trở thành thật, hoặc chấp nhận rằng cả hai tài khoản đi cùng nhau. Hãy chọn một cách có chủ đích và nói rõ đã chọn cái nào.

Kích hoạt một đường hầm không giống như bao phủ nó

Tải trọng App Layer VPN của Apple ghi nhận một cài đặt MailDomains: các tên miền được liệt kê khiến Mail kích hoạt kết nối VPN trên các triển khai được quản lý được hỗ trợ. Đó là một khả năng hữu ích, và nó hẹp hơn vẻ ngoài. Nó khởi động đường hầm khi Mail nói chuyện với các tên miền đó; nó không mô tả mọi tuyến, mọi liên kết ứng dụng hay điều gì xảy ra khi đường hầm xuống.

Đây cũng là một tính năng được quản lý, không phải hộp kiểm cho từng tài khoản trong giao diện Mail. Nếu triển khai không được quản lý, cài đặt này không có sẵn cho bạn, và không lượng chỉnh sửa hồ sơ nào tạo ra nó.

Kiểm tra bằng một lần đồng bộ mới, không phải hộp thư đã lưu đệm

Bài kiểm tra chấp nhận là một lần đồng bộ mới cho từng tài khoản theo chính sách dự định, cộng với trạng thái không khả dụng cho tài khoản được bảo vệ. Một hộp thư đã lưu đệm không chứng minh gì về yêu cầu tiếp theo, và một biểu tượng VPN đã kết nối chỉ nói rằng tồn tại một đường hầm nào đó.

Hãy đưa cho người quản trị các điểm cuối của tài khoản công việc và hành vi bạn muốn cho thư cá nhân, rồi hỏi chính sách nhận biết tài khoản, dựa trên tên miền hay dựa trên ứng dụng được hỗ trợ nào thực hiện điều đó. Quan sát hai tài khoản đồng bộ trong từng điều kiện là bằng chứng duy nhất rằng ranh giới bạn thiết kế là ranh giới mà cỗ máy áp đặt.