Mac の Cisco Secure Client：ウィンドウ、自動接続、再接続のどれか

ログイン後に Cisco 関連の何かが現れ、それが何かを接続している場合もあれば、そうでない場合もあります。ウィンドウ、自動接続、ネットワーク変更後の再接続は、それぞれ別の担当者が持つ三つの独立した挙動です。起動項目を削除しようとして行き詰まる人の多くは、この三つを一つの不満にまとめてしまっています。まず三つを切り分ければ、変更依頼は自然に書けます。

実際に目にしている挙動に名前を付ける

何も触らずに一度のログインを観察し、起きたことを順番に書き留めます。接続なしで開くウィンドウは一つのケース、開いて接続するウィンドウは別のケース、ネットワーク変更後に戻ってくる接続は三つ目のケースです。画面に何が現れるかではなく、実際にトンネルを確立しているものを問うてください。ウィンドウとトンネルでは担当者が違うからです。それに答える証拠は二種類あり、このクライアントを見ているのはそのうち一つだけです。

scutil --nc list
ps aux | grep -i [v]pnagentd
ifconfig | grep -A3 utun

三つの出力をまとめて読んでください。なぜなら scutil --nc list はシステムの VPN 構成を一覧し、空の一覧は、システムの VPN サービスがトンネルを所有していないというだけのことです。Cisco Secure Client はそれを登録しません。vpnagentd と utun インターフェイスを経由して終端するため、プロセスとインターフェイスがそれを見ている証拠になります。vpnagentd が動作していて utun インターフェイスにアドレスがあれば、ウィンドウが閉じていてもトンネルは存在します。どちらもなければ自動接続は切れており、話すべきはウィンドウだけです。フロントエンドが動いていても別のバックグラウンドサービスがトンネルを所有することがあるため、所有権の話はこの節ではなくプロファイルの各節に属します。

ログイン時のウィンドウは起動の問題

ログイン時のウィンドウは、起動エージェントか、アプリ自身の「ログイン時に開く」設定から生じます。どちらも接続ポリシーと同じ仕組みではありません。何かを編集する前に、インストールされている製品とバージョンを特定してください。古いリリースの文書は、現在のインストールでは使わないファイルを説明していることがあります。自動接続を切ってもウィンドウが開くのを必ず止められるわけではなく、ウィンドウを止めても再接続は止まりません。クライアントが対応する起動の制御、または管理者のソフトウェア手順を、この順で使ってください。

管理された Mac では、ローカルの設定として扱う前に、その挙動がインストールされた構成プロファイル経由で来ていないか確認してください。システムは持っているプロファイルを一覧できますし、管理されたログイン項目はあなたが削除するものではありません。

profiles show -type configuration

設定をユーザーが制御できる場合は、クライアントの環境設定で変更し、ログアウトして試します。ロックされている場合は、プロファイルの所有者だけが変更できます。ファイルをローカルで削除すると、次の更新で黙って修復される差異が生まれるため、最も長持ちしない対処になります。灰色になったチェックボックスは壊れたクライアントではなく、ポリシーの表明です。

Auto Connect on Start は別の設定

Cisco の 接続ガイド は、Auto Connect on Start をクライアント起動時の接続試行を制御する設定として挙げ、既定ではオフだと説明しています。配布されたプロファイルで有効にできるため、同じクライアントの二台の Mac がログイン時に違う動きをします。起動項目について何かを決めつける前に、クライアントの設定でその項目を探してください。

対応する制御で変更し、再起動ではなく完全なログアウトで試してください。一部のコンポーネントはログインセッションとともにしか起動しないからです。そのうえで手動接続がまだ機能することを確認してください。自動試行を抑える設定が、接続する能力まで奪うべきではないからです。それでもクライアントがすぐ再接続するなら、見ているのは再接続の挙動です。それが次の問いで、担当者は別です。

Auto Reconnect は三つ目の設定に属する

再接続は、確立したセッションが経路を失った後に何が起きるかを定めます。蓋を閉じる、Wi-Fi ネットワークが変わる、有線リンクが落ちる、といった場合です。Cisco は起動時の挙動とは別に文書化しているため、起動の変更では触れられません。ネットワークを一瞬切断し、入力なしでトンネルが戻るかどうかを見て試してください。

意図的な切断を無視する再接続は、通常はバグではなくポリシーです。常時接続の構成を求める導入もあり、それは回避策ではなくポリシーの話し合いに属します。それを強制するコンポーネントを外すとポスチャチェックが壊れ、次の管理プッシュで復元されることがあります。要件が正当なら、何を保証するためのものか、より狭い設定で満たせるかを尋ねてください。正当でなければ、プロファイルの所有者が一か所で変えられます。あなたが四十台のノート PC で変える必要はありません。

最小の変更を依頼し、それから確認する

依頼には四つの事実を書きます。どのクライアントビルドを使っているか、どの macOS ビルドを使っているか、ログイン後に何が現れるか、入力なしでトンネルができるか。そのうえで望む結果を一文で示してください。同僚があなたに聞かずに実行できる文にします。クライアントを使えるままにしてウィンドウを閉じるのと、自動接続を防ぐのは別の依頼です。正確な依頼はポリシー変更を引き出し、曖昧な依頼は誰も担当しない回避策を招きます。

変更後はログアウトして再ログインし、依存している手動接続の手順を実行してください。再接続が範囲に含まれていたなら、管理者が認める手順で別途試します。

組織が求めるセキュリティモジュールがまだ動作しているか確認してください。監査に見つかるまで、静かな削除は見落としやすいからです。望む結果は、動くクライアントを伴う依頼どおりの起動挙動であり、消えたアイコンと謎ではありません。三つのうちどれが変わったのかを書き留めれば、次の人が本当の修正と偶然を区別できます。