Cisco Secure Client на Mac: акно, аўтападключэнне або перападключэнне?

Нешта звязанае з Cisco з’яўляецца пасля ўваходу, і яно можа штосьці падключаць, а можа і не. Акно, аўтаматычнае падключэнне і перападключэнне пасля змены сеткі — гэта тры асобныя паводзіны з трыма асобнымі ўладальнікамі. Большасць безвыніковых спроб выдаліць элемент запуску пачынаецца з таго, што гэтыя тры зліваюць у адну скаргу. Разлучыце іх спачатку, і запыт на змену напішацца сам.

Назвіце паводзіны, якія вы насамрэч бачыце

Прасачыце за адным уваходам, нічога не чапаючы, і запішыце, што адбываецца, па парадку. Акно, якое адкрываецца без падключэння, — адзін выпадак, акно, якое адкрываецца і падключаецца, — другі, а падключэнне, якое вяртаецца пасля змены сеткі, — трэці. Спытайце, што насамрэч усталёўвае тунель, а не што з’яўляецца на экране, бо ў акна і ў тунеля розныя ўладальнікі. На гэта адказваюць два віды доказаў, і толькі адзін з іх бачыць гэты кліент:

scutil --nc list
ps aux | grep -i [v]pnagentd
ifconfig | grep -A3 utun

Чытайце тры вынікі разам, бо scutil --nc list пералічвае VPN-канфігурацыі сістэмы, а пусты спіс азначае толькі тое, што ніводная сістэмная служба VPN не валодае тунелем. Cisco Secure Client не рэгіструе такі: ён завяршаецца праз vpnagentd і інтэрфейс utun, таму працэс і інтэрфейс — гэта доказ, які яго бачыць. Калі vpnagentd працуе і інтэрфейс utun мае адрас, тунель існуе нават пры зачыненым акне; калі няма ні таго, ні другога, аўтаматычнае падключэнне выключана, і акно — адзінае, што застаецца абмяркоўваць. Франтэнд можа таксама працаваць, пакуль асобная фонавая служба валодае тунелем, таму пытанне ўласнасці належыць да раздзелаў профілю, а не да гэтага.

Акно пры ўваходзе — гэта пытанне запуску

Акно ўваходу паходзіць ад агента запуску або ад уласнай налады праграмы адкрывацца пры ўваходзе, і ні адно з іх не з’яўляецца тым жа механізмам, што палітыка падключэння. Вызначце ўсталяваны прадукт і версію, перш чым нешта змяняць, бо дакументацыя старых выпускаў апісвае файлы, якія бягучая ўсталёўка можа не выкарыстоўваць. Выключэнне аўтаматычнага падключэння не абавязкова спыняе адкрыццё акна, а спыненне акна не спыняе перападключэнне. Выкарыстоўвайце падтрыманае кіраванне запускам кліента або працэс праграмнага забеспячэння вашага адміністратара, менавіта ў такім парадку.

На кіраваным Mac высветліце, ці паводзіны прыходзяць праз усталяваны профіль канфігурацыі, перш чым лічыць іх лакальнай наладай. Сістэма можа пералічыць наяўныя профілі, а кіраваны элемент уваходу не вам выдаляць:

profiles show -type configuration

Там, дзе налада кіруецца карыстальнікам, змяніце яе ў наладах кліента і выйдзіце, каб праверыць. Там, дзе яна заблакіравана, толькі ўладальнік профілю можа яе змяніць. Лакальнае выдаленне файлаў стварае разыходжанне, якое наступнае абнаўленне моўчкі выпраўляе, і таму гэта найменш устойлівае рашэнне. Шэры квадрат — гэта не зламаны кліент, а заява аб палітыцы.

Auto Connect on Start — асобная налада

У кіраўніцтве Cisco па падключэнні параметр Auto Connect on Start названы наладай, якая кіруе спробай падключэння пры запуску кліента, і апісаны як выключаны па змаўчанні. Разгорнуты профіль можа яго ўключыць, і таму два Mac з аднолькавым кліентам паводзяць сябе па-рознаму пры ўваходзе. Шукайце гэтую наладу ў наладах кліента, перш чым рабіць якія-небудзь здагадкі пра элементы запуску.

Змяніце яе праз падтрыманае кіраванне і праверце поўным выхадам, а не перазапускам, бо некаторыя кампаненты запускаюцца толькі з сеансам уваходу. Затым пераканайцеся, што ручное падключэнне ўсё яшчэ працуе, бо налада, якая стрымлівае аўтаматычную спробу, не павінна пазбаўляць вас магчымасці падключыцца. Калі кліент тым не менш адразу перападключаецца, вы разглядаеце паводзіны перападключэння. Гэта наступнае пытанне, і ў яго іншы ўладальнік.

Auto Reconnect належыць трэцяй наладзе

Перападключэнне кіруе тым, што адбываецца пасля страты шляху ўсталяваным сеансам: закрыццё вечка, змена сеткі Wi-Fi, абрыў праваднога злучэння. Cisco дакументуе гэта асобна ад паводзін запуску, таму змена запуску яго не кране. Праверце гэта, адключыўшы сетку на імгненне і назіраючы, ці вернецца тунель без удзелу карыстальніка.

Перападключэнне, якое ігнаруе наўмыснае адключэнне, звычайна ёсць палітыкай, а не памылкай. Некаторыя разгортванні патрабуюць пастаяннага злучэння, і гэта належыць да размовы аб палітыцы, а не да абыходнага рашэння. Выдаленне кампанента, які гэта забяспечвае, можа зламаць праверкі стану і потым быць вернута наступным штуршком кіравання. Калі патрабаванне законнае, спытайце, што яно павінна гарантаваць і ці задаволіць яго больш вузкая налада; калі не, уладальнік профілю можа змяніць яго ў адным месцы замест таго, каб вы змянялі яго на сарака ноўтбуках.

Прасіце найменшую змену, а потым праверце яе

Напішыце запыт з чатырма фактамі: які збор кліента вы выкарыстоўваеце, які збор macOS вы выкарыстоўваеце, што з’яўляецца пасля ўваходу і ці ўтвараецца тунель без удзелу карыстальніка. Затым сфармулюйце жаданы вынік адным сказам, які калега змог бы рэалізаваць, не пытаючыся ў вас. Пакінуць кліент даступным, але зачыніць яго акно — гэта іншы запыт, чым прадухіленне аўтаматычнага падключэння. Дакладны запыт атрымлівае змену палітыкі, а недакладны — абыходнае рашэнне, якое нікому не належыць.

Пасля змены выйдзіце і ўвайдзіце зноў, затым выканайце сцэнар ручнога падключэння, ад якога вы залежыце. Калі перападключэнне ўваходзіла ў аб’ём, праверце яго асобна згодна з працэдурай, якую дазваляе ваш адміністратар.

Праверце, што модулі бяспекі, якія патрабуе арганізацыя, усё яшчэ працуюць, бо маўклівае выдаленне лёгка прапусціць, пакуль яго не знойдзе аўдыт. Вынік, які вам патрэбны, — запытаныя паводзіны запуску з працоўным кліентам, а не адсутная іконка і загадка. Запішыце, якое з трох паводзін змянілася, каб наступны чалавек мог адрозніць сапраўднае выпраўленне ад супадзення.