GlobalProtect al Mac es connecta a l'inici de sessió: com canviar-ho

Obriu el Mac i GlobalProtect ja està connectat, o es reconnecta cada vegada que inicieu sessió. Res a l'aplicació us ho pregunta abans. El paràmetre que ho provoca és a la configuració de l'agent del portal, no al vostre compte d'usuari, i no s'emmagatzema en un fitxer que hàgiu d'editar. El que veieu és el mètode de connexió user-logon fent la seva feina.

Saber quin mètode hi ha assignat us diu què podeu canviar i què heu de demanar.

El símptoma apunta a la política

La configuració de l'agent del portal decideix quan es connecta GlobalProtect, i els dos mètodes entre els quals trieu són On-Demand, que us espera, i User-logon (Always On), que es connecta després d'iniciar sessió. Un portal també pot oferir Pre-logon (Always On) en dispositius gestionats compatibles, cosa que queda fora d'abast en un Mac on inicieu sessió vosaltres mateixos. Una màquina que es connecta sola gairebé sempre està en user-logon. Les preferències de l'aplicació poden mostrar l'estat, però no en són propietàries, i per això desmarcar alguna cosa al client no sobreviu a la següent actualització de política. El portal envia el mètode quan us connecteu i de nou a cada actualització, així que un canvi al costat del client és temporal per disseny.

La política guanya, sempre.

Els dos mètodes, costat a costat

On-Demand, que l'aplicació encara pot etiquetar com a manual, vol dir que feu clic a connecta i no es connecta res abans. User-logon vol dir que el túnel s'aixeca després que us autentiqueu al Mac, que és el que volen la majoria de flotes gestionades, perquè elimina la finestra en què algú navega sense protecció. La contrapartida és exactament el símptoma que heu notat: el túnel existeix abans que decidíssiu que el voleu. Cap dels dos mètodes canvia què pot arribar a veure el túnel; només decideixen quan s'aixeca.

Si la vostra feina necessita una connexió On-Demand, és una sol·licitud de canvi de política, no un canvi de preferència.

Si l'objectiu és una desconnexió temporal

Alguns desplegaments exposen un control Disconnect a l'aplicació, i Palo Alto Networks el documenta a la guia Mac Disconnect per a la versió 6.0 de l'aplicació i posteriors. Només apareix quan la configuració de l'agent ho permet. Aquesta configuració també pot exigir un motiu, un codi d'accés o un tiquet d'assistència, i pot limitar quant de temps o amb quina freqüència romaneu desconnectat.

Completeu aquest flux en lloc d'aturar el servei. Aturar-lo sembla una desconnexió i es comporta com una violació de la política.

Desconnectar un túnel imposat també torna el vostre trànsit al camí de xarxa habitual, cosa que val la pena recordar mentre depureu un portal captiu.

Què trenca editar el launch agent

La solució habitual és editar les claus RunAtLoad o KeepAlive del launch agent, o una preferència privada del portal, per evitar que l'aplicació s'iniciï. Pot semblar que funciona fins a la següent actualització de política o de l'aplicació. Llavors l'aplicació i la seva política gestionada no coincideixen, cosa que produeix un estat que el suport no pot raonar. També deixa la màquina en una configuració que l'organització mai no ha aprovat.

Amagar una finestra d'inici és encara una altra petició, i té la seva pròpia preferència d'interfície compatible.

Què cal demanar, exactament

Demaneu On-Demand pel nom, o un flux Disconnect aprovat amb les seves condicions, o una manera compatible de suprimir la finestra d'inici de sessió. Les peticions vagues reben la resposta equivocada, i llavors torneu a editar plists. Esmenteu també la versió de l'aplicació que feu servir, perquè el control Disconnect només està documentat a partir de la 6.0.

Si l'opció Disconnect no hi és o l'aplicació es reconnecta immediatament, porteu la configuració d'agent assignada a IT i pregunteu quin mètode s'aplica al vostre grup.