GlobalProtect na Macu se připojuje při přihlášení: jak to změnit

Otevřete Mac a GlobalProtect je už připojený, nebo se znovu připojí pokaždé, když se přihlásíte. Nic v aplikaci se vás nejdřív neptá. Nastavení, které to způsobuje, je v konfiguraci agenta na portálu, ne ve vašem uživatelském účtu, a není uložené v souboru, který byste měli upravovat. To, co vidíte, je metoda připojení user-logon, která dělá svou práci.

Když víte, která metoda je přiřazená, víte, co můžete změnit a co musíte požadovat.

Příznak ukazuje na politiku

Konfigurace agenta na portálu rozhoduje, kdy se GlobalProtect připojí, a dvě metody, mezi kterými vybíráte, jsou On-Demand, která čeká na vás, a User-logon (Always On), která se připojí po přihlášení. Portál může na podporovaných spravovaných zařízeních nabídnout i Pre-logon (Always On), což je na Macu, do kterého se přihlašujete sami, mimo rozsah. Stroj, který se připojí sám, je téměř vždy na user-logonu. Vlastní předvolby aplikace mohou stav zobrazovat, ale nevlastní ho, a proto odškrtnutí něčeho v klientovi nepřežije další obnovení politiky. Portál metodu posílá při připojení a znovu při každém obnovení, takže změna na straně klienta je záměrně dočasná.

Politika vyhrává, pokaždé.

Dvě metody vedle sebe

On-Demand, kterou aplikace může ještě označovat jako ruční, znamená, že kliknete na připojit a nic se předtím nepřipojí. User-logon znamená, že tunel naskočí poté, co se ověříte na Macu, což chce většina spravovaných flotil, protože to odstraňuje okno, kdy někdo prohlíží web bez ochrany. Kompromis je přesně ten příznak, kterého jste si všimli: tunel existuje dřív, než jste se rozhodli, že ho chcete. Ani jedna metoda nemění, kam tunel smí dosáhnout; rozhodují jen o tom, kdy naskočí.

Pokud vaše práce potřebuje připojení On-Demand, je to žádost o změnu politiky, ne změna předvolby.

Pokud je cílem dočasné odpojení

Některá nasazení zpřístupňují v aplikaci ovládací prvek Disconnect a Palo Alto Networks ho dokumentuje v průvodci Mac Disconnect pro verzi aplikace 6.0 a novější. Zobrazí se jen tehdy, když to konfigurace agenta povolí. Tato konfigurace může také vyžadovat důvod, přístupový kód nebo tiket na helpdesk a může omezit, jak dlouho nebo jak často zůstanete odpojeni.

Dokončete tento postup místo zastavení služby. Zastavení vypadá jako odpojení a chová se jako porušení politiky.

Odpojení vynuceného tunelu také vrací váš provoz na běžnou síťovou cestu, což stojí za to si pamatovat, když ladíte přihlašovací portál.

Co úprava launch agentu rozbije

Obvyklý obejitý postup je upravit klíče RunAtLoad nebo KeepAlive launch agentu, nebo soukromou předvolbu portálu, aby se aplikace nespouštěla. Může to vypadat, že funguje, až do dalšího obnovení politiky nebo aktualizace aplikace. Pak se aplikace a její spravovaná politika rozcházejí, což vytváří stav, který podpora nedokáže vysvětlit. Také to nechá stroj v konfiguraci, kterou organizace nikdy neschválila.

Skrytí okna při spuštění je zase jiný požadavek a má svou podporovanou předvolbu rozhraní.

Co přesně žádat

Žádejte On-Demand jménem, nebo schválený postup Disconnect s jeho podmínkami, nebo podporovaný způsob, jak potlačit přihlašovací okno. Na vágní žádosti se odpovídá špatnou možností a pak jste zpět u úprav plistů. Uveďte také verzi aplikace, kterou používáte, protože ovládací prvek Disconnect je dokumentován až od 6.0.

Pokud možnost Disconnect chybí nebo se aplikace okamžitě znovu připojí, vezměte přiřazenou konfiguraci agenta na IT a zeptejte se, která metoda platí pro vaši skupinu.