GlobalProtect sur Mac se connecte à l’ouverture de session : comment changer cela

Vous ouvrez le Mac et GlobalProtect est déjà connecté, ou il se reconnecte chaque fois que vous ouvrez une session. Rien dans l’application ne vous demande votre avis d’abord. Le réglage qui provoque cela se trouve dans la configuration de l’agent du portail, pas dans votre compte utilisateur, et il n’est pas stocké dans un fichier que vous êtes censé modifier. Ce que vous voyez, c’est la méthode de connexion user-logon qui fait son travail.

Savoir quelle méthode est attribuée vous indique ce que vous pouvez modifier et ce que vous devez demander.

Le symptôme pointe vers la stratégie

La configuration de l’agent du portail décide quand GlobalProtect se connecte, et les deux méthodes entre lesquelles vous choisissez sont On-Demand, qui vous attend, et User-logon (Always On), qui se connecte après l’ouverture de session. Un portail peut aussi proposer Pre-logon (Always On) sur les appareils gérés pris en charge, ce qui sort du cadre sur un Mac où vous ouvrez vous-même la session. Une machine qui se connecte toute seule est presque toujours en user-logon. Les préférences de l’application peuvent afficher l’état, mais elles ne le possèdent pas, et c’est pourquoi décocher quelque chose dans le client ne survit pas au prochain rafraîchissement de stratégie. Le portail pousse la méthode lors de la connexion et de nouveau à chaque rafraîchissement, donc un changement côté client est temporaire par conception.

La stratégie gagne, à chaque fois.

Les deux méthodes, côte à côte

On-Demand, que l’application peut encore appeler manual, signifie que vous cliquez sur connecter et que rien ne se connecte avant. User-logon signifie que le tunnel monte après que vous vous êtes authentifié sur le Mac, ce que veulent la plupart des parcs gérés, parce que cela supprime la fenêtre où quelqu’un navigue sans protection. Le compromis est exactement le symptôme que vous avez remarqué : le tunnel existe avant que vous ayez décidé que vous le vouliez. Aucune des deux méthodes ne change ce que le tunnel est autorisé à atteindre ; elles décident seulement quand il monte.

Si votre travail nécessite une connexion On-Demand, c’est une demande de changement de stratégie, pas un changement de préférence.

Si l’objectif est une déconnexion temporaire

Certains déploiements exposent un contrôle Disconnect dans l’application, et Palo Alto Networks le documente dans le guide Mac Disconnect pour la version 6.0 de l’application et ultérieures. Il n’apparaît que lorsque la configuration de l’agent l’autorise. Cette configuration peut aussi exiger un motif, un code d’accès ou un ticket au service d’assistance, et elle peut limiter la durée ou la fréquence de votre déconnexion.

Suivez ce processus au lieu d’arrêter le service. L’arrêter ressemble à une déconnexion et se comporte comme une violation de stratégie.

Déconnecter un tunnel imposé remet aussi votre trafic sur le chemin réseau ordinaire, ce qui vaut la peine d’être retenu pendant que vous déboguez un portail captif.

Ce que la modification du launch agent casse

L’astuce habituelle consiste à modifier les clés RunAtLoad ou KeepAlive du launch agent, ou une préférence privée du portail, pour empêcher l’application de démarrer. Cela peut sembler fonctionner jusqu’au prochain rafraîchissement de stratégie ou à la prochaine mise à jour de l’application. L’application et sa stratégie gérée sont alors en désaccord, ce qui produit un état que le support ne peut pas interpréter. Cela laisse aussi la machine dans une configuration que l’organisation n’a jamais approuvée.

Masquer une fenêtre de démarrage est encore une autre demande, et elle a sa propre préférence d’interface prise en charge.

Ce qu’il faut demander, précisément

Demandez On-Demand par son nom, ou un processus Disconnect approuvé avec ses conditions, ou un moyen pris en charge de supprimer la fenêtre d’ouverture de session. Les demandes vagues reçoivent la mauvaise réponse, et vous revenez alors à la modification de plists. Mentionnez aussi la version de l’application que vous utilisez, car le contrôle Disconnect n’est documenté qu’à partir de 6.0.

Si l’option Disconnect manque ou si l’application se reconnecte immédiatement, apportez la configuration d’agent attribuée à l’IT et demandez quelle méthode s’applique à votre groupe.