Cisco Secure Client på Mac: vindue, automatisk forbindelse eller genopkobling?

Noget Cisco-relateret dukker op, efter du logger ind, og det forbinder måske noget, måske ikke. Vinduet, den automatiske forbindelse og genopkoblingen efter en netværksændring er tre adskilte adfærdsmønstre med tre adskilte ejere. De fleste frustrerede forsøg på at fjerne et opstartselement begynder med, at de tre smeltes sammen til én klage. Skil dem ad først, så skriver ændringsanmodningen sig selv.

Navngiv den adfærd, du faktisk ser

Overvær ét login uden at røre noget, og skriv ned, hvad der sker, i rækkefølge. Et vindue, der åbner uden forbindelse, er ét tilfælde, et vindue, der åbner og forbinder, er et andet, og en forbindelse, der vender tilbage efter netværksskiftet, er et tredje. Spørg, hvad der faktisk etablerer tunnelen, i stedet for hvad der vises på skærmen, for vinduet og tunnelen har forskellige ejere. To slags beviser besvarer det, og kun ét af dem ser denne klient:

scutil --nc list
ps aux | grep -i [v]pnagentd
ifconfig | grep -A3 utun

Læs de tre output sammen, fordi scutil --nc list viser systemets VPN-konfigurationer, og en tom liste betyder kun, at ingen system-VPN-tjeneste ejer en tunnel. Cisco Secure Client registrerer ingen: den afsluttes gennem vpnagentd og en utun-grænseflade, så processen og grænsefladen er det bevis, der ser den. Når vpnagentd kører, og en utun-grænseflade har en adresse, findes tunnelen, selv med vinduet lukket; når ingen af dem er til stede, er den automatiske forbindelse slået fra, og vinduet er det eneste at tale om. Frontenden kan også køre, mens en separat baggrundstjeneste ejer tunnelen, så ejerskabsspørgsmålet hører til profilafsnittene og ikke til dette.

Vinduet ved login er et opstartsspørgsmål

Et loginvindue kommer fra en opstartsagent eller fra applikationens egen indstilling om at åbne ved login, og ingen af dem er samme mekanisme som forbindelsespolitik. Fastslå det installerede produkt og version, før du redigerer noget, fordi dokumentation for ældre versioner beskriver filer, som en aktuel installation muligvis ikke bruger. At slå den automatiske forbindelse fra stopper ikke nødvendigvis vinduet i at åbne, og at stoppe vinduet stopper ikke en genopkobling. Brug klientens understøttede opstartskontrol eller din administrators softwareproces, i den rækkefølge.

På en administreret Mac skal du bekræfte, om adfærden kommer via en installeret konfigurationsprofil, før du behandler den som en lokal indstilling. Systemet kan vise de profiler, det har, og et administreret loginelement er ikke dit at slette:

profiles show -type configuration

Hvor indstillingen kan styres af brugeren, ændrer du den i klientindstillingerne og logger ud for at teste. Hvor den er låst, er profilens ejer den eneste, der kan ændre den. Lokal sletning af filer skaber en afvigelse, som den næste opdatering stiltiende reparerer, hvilket gør det til den mindst holdbare løsning. En nedtonet afkrydsningsboks er ikke en defekt klient; det er en politikudmelding.

Auto Connect on Start er en separat indstilling

I Ciscos forbindelsesguide hedder det, at Auto Connect on Start er den indstilling, der styrer et forbindelsesforsøg, når klienten starter, og den beskrives som slået fra som standard. En udrullet profil kan aktivere den, og derfor opfører to Macs med samme klient sig forskelligt ved login. Se efter den indstilling i klientens indstillinger, før du antager noget om opstartselementer.

Ret den gennem den understøttede kontrol, og test med en fuld logud i stedet for en genstart, fordi nogle komponenter kun starter med loginsessionen. Bekræft derefter, at den manuelle forbindelse stadig virker, fordi en indstilling, der undertrykker det automatiske forsøg, ikke bør fjerne din mulighed for at forbinde. Hvis klienten alligevel genopkobler med det samme, ser du på genopkoblingsadfærden i stedet. Det er det næste spørgsmål, og det har en anden ejer.

Auto Reconnect hører til en tredje indstilling

Genopkobling styrer, hvad der sker, når en etableret session mister sin vej: et låg, der lukkes, et Wi-Fi-netværk, der skifter, et kablet link, der falder. Cisco dokumenterer det adskilt fra opstartsadfærd, så en opstartsændring rører ikke ved det. Test det ved at afbryde netværket et øjeblik og se, om tunnelen vender tilbage uden input.

En genopkobling, der ignorerer en bevidst afbrydelse, er normalt politik og ikke en fejl. Nogle udrulninger kræver en altid-tilkoblet ordning, og det hører til en politiksamtale i stedet for en omvej. At fjerne den komponent, der håndhæver det, kan bryde posture-tjek og derefter blive gendannet af det næste management-push. Hvis kravet er legitimt, så spørg, hvad det skal garantere, og om en snævrere indstilling opfylder det; hvis ikke, kan profilens ejer ændre det ét sted i stedet for at du ændrer det på fyrre bærbare computere.

Bed om den mindste ændring, og verificér den derefter

Skriv anmodningen med fire fakta: hvilken klientversion du kører, hvilken macOS-version du kører, hvad der vises efter et login, og om der dannes en tunnel uden input. Angiv derefter det ønskede resultat i én sætning, som en kollega kunne implementere uden at spørge dig. At holde klienten tilgængelig, men lukke dens vindue, er en anden anmodning end at forhindre en automatisk forbindelse. En præcis anmodning får en politikændring, mens en vag får en omvej, som ingen ejer.

Efter ændringen skal du logge ud og ind igen og derefter køre den manuelle forbindelsesproces, du er afhængig af. Hvis genopkobling var i scope, skal du teste det separat efter den procedure, din administrator tillader.

Kontrollér, at de sikkerhedsmoduler, organisationen kræver, stadig kører, fordi en stille fjernelse er let at overse, indtil en revision finder den. Det resultat, du ønsker, er den ønskede opstartsadfærd med en fungerende klient, ikke et manglende ikon og et mysterium. Skriv ned, hvilken af de tre adfærdsmønstre der ændrede sig, så den næste kan skelne en rigtig rettelse fra en tilfældighed.