Cisco Secure Client auf dem Mac: Fenster, automatische Verbindung oder Neuverbindung?

Nach der Anmeldung erscheint etwas mit Cisco-Bezug, und es verbindet vielleicht etwas oder auch nicht. Das Fenster, die automatische Verbindung und die Neuverbindung nach einem Netzwerkwechsel sind drei getrennte Verhaltensweisen mit drei getrennten Zuständigkeiten. Die meisten erfolglosen Versuche, ein Startobjekt zu entfernen, beginnen damit, dass diese drei zu einer einzigen Beschwerde verschmelzen. Trennen Sie sie zuerst, dann schreibt sich die Änderungsanfrage von selbst.

Benennen Sie das Verhalten, das Sie tatsächlich sehen

Beobachten Sie eine Anmeldung, ohne etwas anzufassen, und notieren Sie der Reihe nach, was passiert. Ein Fenster, das ohne Verbindung aufgeht, ist ein Fall, ein Fenster, das aufgeht und verbindet, ein anderer, und eine Verbindung, die nach dem Netzwerkwechsel zurückkehrt, ein dritter. Fragen Sie, was den Tunnel tatsächlich aufbaut, statt was auf dem Bildschirm erscheint, denn Fenster und Tunnel haben verschiedene Zuständigkeiten. Zwei Arten von Belegen beantworten das, und nur einer davon sieht diesen Client:

scutil --nc list
ps aux | grep -i [v]pnagentd
ifconfig | grep -A3 utun

Lesen Sie die drei Ausgaben zusammen, denn scutil --nc list listet die VPN-Konfigurationen des Systems auf, und eine leere Liste bedeutet nur, dass kein System-VPN-Dienst einen Tunnel besitzt. Cisco Secure Client registriert keinen: Er endet über vpnagentd und eine utun-Schnittstelle, deshalb sind Prozess und Schnittstelle der Beleg, der ihn sieht. Wenn vpnagentd läuft und eine utun-Schnittstelle eine Adresse hält, existiert der Tunnel auch bei geschlossenem Fenster; fehlt beides, ist die automatische Verbindung aus und das Fenster das Einzige, worüber zu sprechen ist. Das Frontend kann auch laufen, während ein separater Hintergrunddienst den Tunnel besitzt, deshalb gehört die Zuständigkeitsfrage in die Profilabschnitte und nicht in diesen.

Das Fenster bei der Anmeldung ist eine Startfrage

Ein Anmeldefenster stammt von einem Startagenten oder von der eigenen Einstellung der Anwendung, sich bei der Anmeldung zu öffnen, und keines von beiden ist derselbe Mechanismus wie die Verbindungsrichtlinie. Stellen Sie das installierte Produkt und die Version fest, bevor Sie etwas bearbeiten, denn die Dokumentation älterer Versionen beschreibt Dateien, die eine aktuelle Installation möglicherweise nicht verwendet. Die automatische Verbindung abzuschalten verhindert nicht zwingend, dass das Fenster aufgeht, und das Fenster zu stoppen stoppt keine Neuverbindung. Nutzen Sie die unterstützte Startsteuerung des Clients oder den Softwareprozess Ihrer Administration, in dieser Reihenfolge.

Bestätigen Sie auf einem verwalteten Mac, ob das Verhalten über ein installiertes Konfigurationsprofil kommt, bevor Sie es als lokale Einstellung behandeln. Das System kann die vorhandenen Profile auflisten, und ein verwaltetes Anmeldeobjekt ist nicht Ihres zum Löschen:

profiles show -type configuration

Wo die Einstellung durch Benutzer steuerbar ist, ändern Sie sie in den Client-Einstellungen und melden Sie sich zum Testen ab. Wo sie gesperrt ist, kann sie nur die zuständige Person des Profils ändern. Dateien lokal zu löschen erzeugt eine Abweichung, die das nächste Update stillschweigend repariert, was es zur am wenigsten dauerhaften Lösung macht. Ein ausgegrautes Kontrollkästchen ist kein defekter Client; es ist eine Richtlinienaussage.

Auto Connect on Start ist eine eigene Einstellung

Ciscos Verbindungsleitfaden nennt Auto Connect on Start die Einstellung, die einen Verbindungsversuch beim Start des Clients steuert, und beschreibt sie als standardmäßig aus. Ein bereitgestelltes Profil kann sie aktivieren, weshalb sich zwei Macs mit demselben Client bei der Anmeldung unterschiedlich verhalten. Suchen Sie diese Einstellung in den Client-Einstellungen, bevor Sie etwas über Startobjekte annehmen.

Ändern Sie sie über die unterstützte Steuerung und testen Sie mit einer vollständigen Abmeldung statt einem Neustart, weil manche Komponenten nur mit der Anmeldesitzung starten. Bestätigen Sie dann, dass die manuelle Verbindung weiter funktioniert, denn eine Einstellung, die den automatischen Versuch unterdrückt, sollte Ihnen die Fähigkeit zu verbinden nicht nehmen. Wenn der Client sich trotzdem sofort neu verbindet, sehen Sie sich das Neuverbindungsverhalten an. Das ist die nächste Frage, und sie hat eine andere Zuständigkeit.

Auto Reconnect gehört zu einer dritten Einstellung

Die Neuverbindung regelt, was passiert, wenn eine bestehende Sitzung ihren Pfad verliert: ein Deckel schließt sich, ein Wi-Fi-Netz wechselt, eine kabelgebundene Verbindung fällt aus. Cisco dokumentiert das getrennt vom Startverhalten, deshalb berührt eine Änderung am Start es nicht. Testen Sie es, indem Sie das Netzwerk kurz trennen und beobachten, ob der Tunnel ohne Eingabe zurückkehrt.

Eine Neuverbindung, die eine bewusste Trennung ignoriert, ist meist Richtlinie und kein Fehler. Manche Bereitstellungen erfordern eine dauerhaft verbundene Regelung, und das gehört in ein Richtliniengespräch statt in einen Workaround. Die Komponente zu entfernen, die das erzwingt, kann Posture-Prüfungen brechen und wird dann vom nächsten Management-Push wiederhergestellt. Ist die Anforderung legitim, fragen Sie, was sie garantieren soll und ob eine engere Einstellung sie erfüllt; ist sie es nicht, kann die zuständige Person des Profils sie an einer Stelle ändern, statt dass Sie sie auf vierzig Laptops ändern.

Bitten Sie um die kleinste Änderung und prüfen Sie sie dann

Schreiben Sie die Anfrage mit vier Fakten: welchen Client-Build Sie verwenden, welchen macOS-Build Sie verwenden, was nach einer Anmeldung erscheint und ob ohne Eingabe ein Tunnel entsteht. Formulieren Sie dann das gewünschte Ergebnis in einem Satz, den eine Kollegin umsetzen könnte, ohne Sie zu fragen. Den Client verfügbar zu halten, aber sein Fenster zu schließen, ist eine andere Anfrage als eine automatische Verbindung zu verhindern. Eine präzise Anfrage bekommt eine Richtlinienänderung, eine vage dagegen einen Workaround, den niemand verantwortet.

Melden Sie sich nach der Änderung ab und wieder an und führen Sie dann den manuellen Verbindungsablauf aus, auf den Sie angewiesen sind. War die Neuverbindung im Umfang, testen Sie sie separat nach dem Verfahren, das Ihre Administration zulässt.

Prüfen Sie, ob die von der Organisation geforderten Sicherheitsmodule noch laufen, denn eine stille Entfernung fällt leicht erst einem Audit auf. Das gewünschte Ergebnis ist das angeforderte Startverhalten mit funktionierendem Client, nicht ein fehlendes Symbol und ein Rätsel. Notieren Sie, welche der drei Verhaltensweisen sich geändert hat, damit die nächste Person einen echten Fix von einem Zufall unterscheiden kann.