GlobalProtect en Mac se conecta al iniciar sesión: cómo cambiarlo

Abre el Mac y GlobalProtect ya está conectado, o se reconecta cada vez que inicias sesión. Nada en la aplicación te pregunta antes. El ajuste que lo provoca está en la configuración del agente del portal, no en tu cuenta de usuario, y no se guarda en un archivo que debas editar. Lo que ves es el método de conexión user-logon haciendo su trabajo.

Saber qué método está asignado te dice qué puedes cambiar y qué tienes que solicitar.

El síntoma apunta a la política

La configuración del agente del portal decide cuándo se conecta GlobalProtect, y los dos métodos entre los que eliges son On-Demand, que te espera, y User-logon (Always On), que se conecta tras iniciar sesión. Un portal también puede ofrecer Pre-logon (Always On) en dispositivos gestionados compatibles, algo que queda fuera de alcance en un Mac en el que inicias sesión tú mismo. Una máquina que se conecta sola casi siempre está en user-logon. Las preferencias de la propia aplicación pueden mostrar el estado, pero no son dueñas de él, por eso desmarcar algo en el cliente no sobrevive a la siguiente actualización de política. El portal envía el método cuando te conectas y de nuevo en cada actualización, así que un cambio en el lado del cliente es temporal por diseño.

La política gana, siempre.

Los dos métodos, uno junto al otro

On-Demand, que la aplicación aún puede etiquetar como manual, significa que haces clic en conectar y no se conecta nada antes. User-logon significa que el túnel sube después de que te autentiques en el Mac, que es lo que quieren la mayoría de las flotas gestionadas, porque elimina la ventana en la que alguien navega sin protección. La contrapartida es exactamente el síntoma que notaste: el túnel existe antes de que decidieras que lo querías. Ningún método cambia a qué puede llegar el túnel; solo deciden cuándo sube.

Si tu trabajo necesita una conexión On-Demand, es una solicitud de cambio de política, no un cambio de preferencia.

Si el objetivo es una desconexión temporal

Algunos despliegues exponen un control Disconnect en la aplicación, y Palo Alto Networks lo documenta en la guía Mac Disconnect para la versión 6.0 de la aplicación y posteriores. Solo aparece cuando la configuración del agente lo permite. Esa configuración también puede exigir un motivo, un código de acceso o un ticket de asistencia, y puede limitar cuánto tiempo o con qué frecuencia permaneces desconectado.

Completa ese flujo en lugar de detener el servicio. Detenerlo parece una desconexión y se comporta como una violación de la política.

Desconectar un túnel impuesto también devuelve tu tráfico a la ruta de red habitual, algo que conviene recordar mientras depuras un portal cautivo.

Qué rompe editar el launch agent

El truco habitual es editar las claves RunAtLoad o KeepAlive del launch agent, o una preferencia privada del portal, para impedir que la aplicación se inicie. Puede parecer que funciona hasta la siguiente actualización de política o de la aplicación. Entonces la aplicación y su política gestionada no coinciden, lo que produce un estado que el soporte no puede razonar. También deja la máquina en una configuración que la organización nunca aprobó.

Ocultar una ventana de inicio es otra petición distinta, y tiene su propia preferencia de interfaz compatible.

Qué pedir, exactamente

Pide On-Demand por su nombre, o un flujo Disconnect aprobado con sus condiciones, o una forma compatible de suprimir la ventana de inicio de sesión. A las peticiones vagas se les responde con la equivocada, y entonces vuelves a editar plists. Menciona también la versión de la aplicación que usas, porque el control Disconnect solo está documentado desde la 6.0.

Si falta la opción Disconnect o la aplicación se reconecta de inmediato, lleva la configuración de agente asignada a IT y pregunta qué método se aplica a tu grupo.