Cisco Secure Client su Mac: finestra, connessione automatica o riconnessione?

Qualcosa legato a Cisco compare dopo l'accesso, e può darsi che stia collegando qualcosa oppure no. La finestra, la connessione automatica e la riconnessione dopo un cambio di rete sono tre comportamenti distinti con tre responsabili distinti. La maggior parte dei tentativi frustrati di rimuovere un elemento di avvio parte da questi tre fusi in un'unica lamentela. Separali prima e la richiesta di modifica si scrive da sola.

Nomina il comportamento che stai effettivamente vedendo

Osserva un accesso senza toccare nulla e annota cosa succede, in ordine. Una finestra che si apre senza connessione è un caso, una finestra che si apre e si connette è un altro, e una connessione che torna dopo il cambio di rete è un terzo. Chiediti cosa stabilisce davvero il tunnel invece di cosa appare sullo schermo, perché la finestra e il tunnel hanno responsabili diversi. Due tipi di prove rispondono, e solo una di esse vede questo client:

scutil --nc list
ps aux | grep -i [v]pnagentd
ifconfig | grep -A3 utun

Leggi i tre output insieme, perché scutil --nc list elenca le configurazioni VPN del sistema e un elenco vuoto significa solo che nessun servizio VPN di sistema possiede un tunnel. Cisco Secure Client non ne registra uno: termina tramite vpnagentd e un'interfaccia utun, quindi il processo e l'interfaccia sono le prove che lo vedono. Quando vpnagentd è in esecuzione e un'interfaccia utun ha un indirizzo, il tunnel esiste anche a finestra chiusa; quando non c'è nessuno dei due, la connessione automatica è disattivata e la finestra è l'unica cosa di cui parlare. Il front end può anche funzionare mentre un servizio in background separato possiede il tunnel, quindi la questione della proprietà appartiene alle sezioni del profilo e non a questa.

La finestra all'accesso è una questione di avvio

Una finestra di accesso deriva da un launch agent o dalla preferenza dell'applicazione di aprirsi all'accesso, e nessuna delle due è lo stesso meccanismo della politica di connessione. Identifica il prodotto e la versione installati prima di modificare qualsiasi cosa, perché la documentazione delle versioni precedenti descrive file che un'installazione attuale potrebbe non usare. Disattivare la connessione automatica non ferma necessariamente l'apertura della finestra, e fermare la finestra non ferma una riconnessione. Usa il controllo di avvio supportato del client o il processo software del tuo amministratore, in quest'ordine.

Su un Mac gestito, verifica se il comportamento arriva tramite un profilo di configurazione installato prima di trattarlo come preferenza locale. Il sistema può elencare i profili che ha, e un elemento di accesso gestito non è tuo da eliminare:

profiles show -type configuration

Dove l'impostazione è controllabile dall'utente, cambiala nelle preferenze del client ed esci per provare. Dove è bloccata, il proprietario del profilo è l'unico che può cambiarla. Rimuovere file localmente produce una divergenza che l'aggiornamento successivo ripara in silenzio, il che la rende la correzione meno duratura disponibile. Una casella in grigio non è un client rotto; è una dichiarazione di politica.

Auto Connect on Start è una preferenza separata

La guida alla connessione di Cisco indica Auto Connect on Start come la preferenza che controlla un tentativo di connessione all'avvio del client, e la descrive come disattivata per impostazione predefinita. Un profilo distribuito può attivarla, ed è per questo che due Mac con lo stesso client si comportano diversamente all'accesso. Cerca quella preferenza nelle impostazioni del client prima di dare per scontato qualcosa sugli elementi di avvio.

Cambiala tramite il controllo supportato e prova con un logout completo invece di un riavvio, perché alcuni componenti partono solo con la sessione di accesso. Poi conferma che la connessione manuale funziona ancora, dato che una preferenza che sopprime il tentativo automatico non dovrebbe toglierti la capacità di connetterti. Se il client si riconnette comunque subito, stai guardando il comportamento di riconnessione. È la domanda successiva, e ha un altro responsabile.

Auto Reconnect appartiene a una terza impostazione

La riconnessione governa ciò che accade quando una sessione stabilita perde il suo percorso: chiusura del coperchio, cambio di rete Wi-Fi, caduta di un collegamento cablato. Cisco la documenta separatamente dal comportamento di avvio, quindi una modifica all'avvio non la toccherà. Provala scollegando la rete per un momento e osservando se il tunnel torna senza intervento.

Una riconnessione che ignora una disconnessione deliberata di solito è politica, non un bug. Alcune distribuzioni richiedono un assetto sempre attivo, che appartiene a una discussione di politica e non a un workaround. Rimuovere il componente che lo impone può rompere i controlli di postura e poi essere ripristinato dal successivo push di gestione. Se il requisito è legittimo, chiedi cosa dovrebbe garantire e se un'impostazione più stretta lo soddisfa; se non lo è, il proprietario del profilo può cambiarlo in un solo punto invece che tu lo cambi su quaranta portatili.

Chiedi la modifica più piccola, poi verificala

Scrivi la richiesta con quattro fatti: quale build del client esegui, quale build di macOS esegui, cosa appare dopo un accesso e se si forma un tunnel senza intervento. Poi enuncia il risultato desiderato in una frase che un collega potrebbe attuare senza chiederti nulla. Tenere il client disponibile ma chiudere la sua finestra è una richiesta diversa dall'impedire una connessione automatica. Una richiesta precisa ottiene un cambio di politica, mentre una vaga ottiene un workaround che nessuno possiede.

Dopo la modifica, esci e rientra, poi esegui il flusso di connessione manuale da cui dipendi. Se la riconnessione era nell'ambito, provala separatamente secondo la procedura che il tuo amministratore consente.

Verifica che i moduli di sicurezza richiesti dall'organizzazione siano ancora in esecuzione, perché una rimozione silenziosa è facile da perdere finché un audit non la trova. Il risultato che vuoi è il comportamento di avvio richiesto con un client funzionante, non un'icona assente e un mistero. Annota quale dei tre comportamenti è cambiato, così la persona successiva può distinguere una correzione reale da una coincidenza.