GlobalProtect su Mac si connette all'accesso: come cambiarlo

Apri il Mac e GlobalProtect è già connesso, oppure si riconnette ogni volta che accedi. Nulla nell'app ti chiede prima. L'impostazione che lo causa si trova nella configurazione dell'agente del portale, non nel tuo account utente, e non è salvata in un file che dovresti modificare. Quello che vedi è il metodo di connessione user-logon che fa il suo lavoro.

Sapere quale metodo è assegnato ti dice cosa puoi cambiare e cosa devi richiedere.

Il sintomo punta alla policy

La configurazione dell'agente del portale decide quando GlobalProtect si connette, e i due metodi tra cui scegli sono On-Demand, che aspetta te, e User-logon (Always On), che si connette dopo l'accesso. Un portale può anche offrire Pre-logon (Always On) sui dispositivi gestiti supportati, cosa fuori portata su un Mac in cui accedi tu stesso. Una macchina che si connette da sola è quasi sempre su user-logon. Le preferenze dell'app possono mostrare lo stato, ma non ne sono proprietarie, ed è per questo che deselezionare qualcosa nel client non sopravvive al successivo aggiornamento della policy. Il portale invia il metodo quando ti connetti e di nuovo a ogni aggiornamento, quindi una modifica lato client è temporanea per progettazione.

La policy vince, ogni volta.

I due metodi, fianco a fianco

On-Demand, che l'app potrebbe ancora etichettare come manual, significa che fai clic su connetti e nulla si connette prima. User-logon significa che il tunnel sale dopo che ti autentichi sul Mac, cosa che la maggior parte delle flotte gestite vuole, perché elimina la finestra in cui qualcuno naviga senza protezione. Il compromesso è esattamente il sintomo che hai notato: il tunnel esiste prima che tu decida di volerlo. Nessuno dei due metodi cambia a cosa il tunnel può arrivare; decidono solo quando sale.

Se il tuo lavoro richiede una connessione On-Demand, è una richiesta di modifica della policy, non un cambio di preferenza.

Se l'obiettivo è una disconnessione temporanea

Alcuni deployment espongono un controllo Disconnect nell'app, e Palo Alto Networks lo documenta nella guida Mac Disconnect per la versione 6.0 dell'app e successive. Compare solo quando la configurazione dell'agente lo consente. Quella configurazione può anche richiedere un motivo, un codice di accesso o un ticket all'help desk, e può limitare per quanto tempo o con quale frequenza resti disconnesso.

Completa quel flusso invece di fermare il servizio. Fermarlo sembra una disconnessione e si comporta come una violazione della policy.

Disconnettere un tunnel imposto riporta anche il tuo traffico sul percorso di rete ordinario, cosa che vale la pena ricordare mentre esegui il debug di un portale captive.

Cosa rompe la modifica del launch agent

Il trucco abituale è modificare le chiavi RunAtLoad o KeepAlive del launch agent, o una preferenza privata del portale, per impedire l'avvio dell'app. Può sembrare che funzioni fino al successivo aggiornamento della policy o dell'app. Allora l'app e la sua policy gestita non concordano, il che produce uno stato su cui il supporto non può ragionare. Lascia anche la macchina in una configurazione che l'organizzazione non ha mai approvato.

Nascondere una finestra di avvio è ancora un'altra richiesta, e ha una sua preferenza di interfaccia supportata.

Cosa chiedere, esattamente

Chiedi On-Demand per nome, oppure un flusso Disconnect approvato con le sue condizioni, oppure un modo supportato per sopprimere la finestra di accesso. Le richieste vaghe ricevono la risposta sbagliata, e poi torni a modificare plist. Cita anche la versione dell'app che usi, perché il controllo Disconnect è documentato solo dalla 6.0.

Se l'opzione Disconnect manca o l'app si riconnette subito, porta la configurazione dell'agente assegnata all'IT e chiedi quale metodo si applica al tuo gruppo.