Cisco Secure Client na Macu: okno, automatické připojení, nebo opětovné připojení?

Po přihlášení se objeví něco spojeného s Cisco a možná to něco připojuje, možná ne. Okno, automatické připojení a opětovné připojení po změně sítě jsou tři oddělená chování se třemi oddělenými vlastníky. Většina neúspěšných pokusů odstranit položku spouštění začíná tím, že se tyto tři slijí do jedné stížnosti. Nejprve je rozdělte a žádost o změnu se napíše sama.

Pojmenujte chování, které skutečně vidíte

Sledujte jedno přihlášení, aniž byste se čehokoli dotkli, a zapište, co se děje, v pořadí. Okno, které se otevře bez připojení, je jeden případ, okno, které se otevře a připojí, je druhý a připojení, které se po změně sítě vrátí, je třetí. Ptejte se, co tunel skutečně vytváří, a ne co se objevuje na obrazovce, protože okno a tunel mají různé vlastníky. Odpovídají na to dva druhy důkazů a jen jeden z nich vidí tohoto klienta:

scutil --nc list
ps aux | grep -i [v]pnagentd
ifconfig | grep -A3 utun

Čtěte tři výstupy společně, protože scutil --nc list vypisuje konfigurace VPN systému a prázdný seznam jen znamená, že žádná systémová služba VPN nevlastní tunel. Cisco Secure Client žádnou neregistruje: končí přes vpnagentd a rozhraní utun, takže proces a rozhraní jsou důkazem, který ho vidí. Když vpnagentd běží a rozhraní utun má adresu, tunel existuje i se zavřeným oknem; když není ani jedno, automatické připojení je vypnuté a okno je jediné, o čem lze mluvit. Přední část může běžet i tehdy, když tunel vlastní samostatná služba na pozadí, takže otázka vlastnictví patří do sekcí o profilu, ne do této.

Okno při přihlášení je otázka spouštění

Přihlašovací okno pochází z agenta spouštění nebo z vlastního nastavení aplikace otevírat se při přihlášení, a ani jedno není stejný mechanismus jako zásada připojení. Než cokoli upravíte, zjistěte nainstalovaný produkt a verzi, protože dokumentace starších vydání popisuje soubory, které současná instalace nemusí používat. Vypnutí automatického připojení nutně nezastaví otevírání okna a zastavení okna nezastaví opětovné připojení. Použijte podporovanou kontrolu spouštění klienta nebo softwarový proces vašeho správce, v tomto pořadí.

Na spravovaném Macu ověřte, zda chování přichází přes nainstalovaný konfigurační profil, než ho začnete považovat za místní nastavení. Systém umí vypsat profily, které má, a spravovanou položku přihlášení nemáte smazat vy:

profiles show -type configuration

Kde je nastavení pod kontrolou uživatele, změňte ho v předvolbách klienta a odhlaste se kvůli testu. Kde je zamčené, může ho změnit jen vlastník profilu. Místní mazání souborů vytváří odchylku, kterou příští aktualizace tiše opraví, a proto je to nejméně trvalé řešení. Zašedlé zaškrtávací pole není rozbitý klient; je to prohlášení o zásadě.

Auto Connect on Start je samostatná předvolba

V průvodci připojením Cisco je Auto Connect on Start označeno za předvolbu, která řídí pokus o připojení při spuštění klienta, a je popsáno jako ve výchozím nastavení vypnuté. Nasaditelný profil ho může zapnout, a proto se dva Macy se stejným klientem při přihlášení chovají různě. Hledejte tuto předvolbu v nastavení klienta, než cokoli předpokládáte o položkách spouštění.

Změňte ji podporovanou kontrolou a testujte úplným odhlášením, ne restartem, protože některé komponenty startují jen s přihlašovací relací. Pak ověřte, že ruční připojení stále funguje, protože předvolba, která potlačuje automatický pokus, by vám neměla brát možnost se připojit. Pokud se klient přesto okamžitě připojí, díváte se na chování opětovného připojení. To je další otázka a má jiného vlastníka.

Auto Reconnect patří třetímu nastavení

Opětovné připojení řídí, co se stane, když zavedená relace ztratí cestu: zavření víka, změna sítě Wi-Fi, výpadek kabelového spoje. Cisco to dokumentuje odděleně od chování při spuštění, takže změna při spuštění se ho nedotkne. Otestujte to odpojením sítě na chvíli a sledováním, zda se tunel vrátí bez zásahu.

Opětovné připojení, které ignoruje úmyslné odpojení, je obvykle zásada, ne chyba. Některá nasazení vyžadují trvale připojené uspořádání a to patří do rozhovoru o zásadách, ne do obejití. Odebrání komponenty, která to vynucuje, může rozbít kontrolu stavu a pak být obnoveno dalším tlakem správy. Pokud je požadavek oprávněný, ptejte se, co má zaručit a zda ho užší nastavení splní; pokud ne, vlastník profilu ho může změnit na jednom místě, místo abyste ho měnili vy na čtyřiceti noteboocích.

Požádejte o nejmenší změnu a pak ji ověřte

Napište žádost se čtyřmi fakty: jakou verzi klienta používáte, jakou verzi macOS používáte, co se objeví po přihlášení a zda se bez zásahu vytvoří tunel. Pak vyjádřete požadovaný výsledek jednou větou, kterou by kolega mohl provést, aniž by se vás ptal. Ponechat klienta dostupného, ale zavřít jeho okno, je jiná žádost než zabránit automatickému připojení. Přesná žádost získá změnu zásady, zatímco vágní získá obejití, které nikomu nepatří.

Po změně se odhlaste a znovu přihlaste, pak spusťte ruční postup připojení, na kterém závisíte. Pokud bylo opětovné připojení v rozsahu, otestujte ho zvlášť podle postupu, který váš správce povoluje.

Zkontrolujte, že bezpečnostní moduly, které organizace vyžaduje, stále běží, protože tiché odstranění snadno přehlédnete, dokud ho nenajde audit. Výsledek, který chcete, je požadované chování při spuštění s funkčním klientem, ne chybějící ikona a záhada. Zapište, které ze tří chování se změnilo, aby další člověk rozeznal skutečnou opravu od náhody.