GlobalProtect en Mac conéctase ao iniciar sesión: como cambialo

Abre o Mac e GlobalProtect xa está conectado, ou reconéctase cada vez que inicias sesión. Nada na aplicación che pregunta antes. O axuste que o provoca está na configuración do axente do portal, non na túa conta de usuario, e non se garda nun ficheiro que debas editar. O que ves é o método de conexión user-logon facendo o seu traballo.

Saber que método está asignado diche que podes cambiar e que tes que solicitar.

O síntoma apunta á política

A configuración do axente do portal decide cando se conecta GlobalProtect, e os dous métodos entre os que elixes son On-Demand, que te agarda, e User-logon (Always On), que se conecta tras iniciar sesión. Un portal tamén pode ofrecer Pre-logon (Always On) en dispositivos xestionados compatibles, algo que queda fóra de alcance nun Mac no que inicias sesión ti mesmo. Unha máquina que se conecta soa case sempre está en user-logon. As preferencias da propia aplicación poden mostrar o estado, pero non son donas del, por iso desmarcar algo no cliente non sobrevive á seguinte actualización de política. O portal envía o método cando te conectas e de novo en cada actualización, así que un cambio no lado do cliente é temporal por deseño.

A política gaña, sempre.

Os dous métodos, un xunto ao outro

On-Demand, que a aplicación aínda pode etiquetar como manual, significa que fas clic en conectar e non se conecta nada antes. User-logon significa que o túnel sobe despois de que te autentiques no Mac, que é o que queren a maioría das flotas xestionadas, porque elimina a ventá na que alguén navega sen protección. A contrapartida é exactamente o síntoma que notaches: o túnel existe antes de que decidises que o querías. Ningún método cambia a que pode chegar o túnel; só deciden cando sobe.

Se o teu traballo necesita unha conexión On-Demand, é unha solicitude de cambio de política, non un cambio de preferencia.

Se o obxectivo é unha desconexión temporal

Algunhas implantacións expoñen un control Disconnect na aplicación, e Palo Alto Networks documéntao na guía Mac Disconnect para a versión 6.0 da aplicación e posteriores. Só aparece cando a configuración do axente o permite. Ese axuste tamén pode esixir un motivo, un código de acceso ou un tícket de asistencia, e pode limitar canto tempo ou con que frecuencia permaneces desconectado.

Completa ese fluxo en lugar de deter o servizo. Detelo parece unha desconexión e compórtase como unha violación da política.

Desconectar un túnel imposto tamén devolve o teu tráfico á ruta de rede habitual, algo que convén recordar mentres depuras un portal cativo.

Que rompe editar o launch agent

O truco habitual é editar as claves RunAtLoad ou KeepAlive do launch agent, ou unha preferencia privada do portal, para impedir que a aplicación se inicie. Pode parecer que funciona ata a seguinte actualización de política ou da aplicación. Entón a aplicación e a súa política xestionada non coinciden, o que produce un estado que o soporte non pode razoar. Tamén deixa a máquina nunha configuración que a organización nunca aprobou.

Ocultar unha ventá de inicio é outra petición distinta, e ten a súa propia preferencia de interface compatible.

Que pedir, exactamente

Pide On-Demand polo seu nome, ou un fluxo Disconnect aprobado coas súas condicións, ou unha forma compatible de suprimir a ventá de inicio de sesión. As peticións vagas reciben a resposta equivocada, e entón volves editar plists. Menciona tamén a versión da aplicación que usas, porque o control Disconnect só está documentado desde a 6.0.

Se falta a opción Disconnect ou a aplicación se reconecta de inmediato, leva a configuración de axente asignada a IT e pregunta que método se aplica ao teu grupo.