Mac의 GlobalProtect가 로그인 시 연결됩니다: 변경하는 방법

Mac을 열면 GlobalProtect가 이미 연결되어 있거나, 로그인할 때마다 다시 연결됩니다. 앱에서 먼저 물어보는 것은 아무것도 없습니다. 이를 일으키는 설정은 포털의 에이전트 구성에 있으며, 사용자 계정에 있는 것이 아닙니다, 그리고 편집해야 하는 파일에 저장되지도 않습니다. 보이는 것은 user-logon 연결 방식이 제 역할을 하고 있는 결과입니다.

어떤 방식이 할당되었는지 알면 무엇을 바꿀 수 있고 무엇을 요청해야 하는지 알 수 있습니다.

증상은 정책을 가리킨다

포털의 에이전트 구성이 GlobalProtect의 연결 시점을 결정하며, 선택할 수 있는 두 방식은 사용자를 기다리는 On-Demand와 로그인 후 연결하는 User-logon(Always On)입니다. 포털은 지원되는 관리형 기기에서 Pre-logon(Always On)을 제공할 수도 있지만, 직접 로그인하는 Mac에서는 범위를 벗어납니다. 스스로 연결되는 기기는 거의 항상 user-logon입니다. 앱 자체의 환경설정이 상태를 표시할 수는 있지만 그 상태를 소유하지는 않으므로, 클라이언트에서 확인란을 해제해도 다음 정책 새로 고침에서 되돌아갑니다. 포털은 연결할 때와 새로 고침할 때마다 방식을 다시 내려보내므로, 클라이언트 측 변경은 설계상 일시적입니다.

정책이 항상 이깁니다.

두 방식을 나란히

On-Demand는 앱이 아직 수동이라고 표시할 수 있지만, 사용자가 연결을 클릭하기 전에는 아무것도 연결되지 않는 방식입니다. User-logon은 Mac 인증 후 터널이 올라오는 방식으로, 보호 없이 탐색하는 시간대를 없애 주기 때문에 대부분의 관리형 플릿이 원합니다. 그 대가는 바로 사용자가 알아차린 증상, 즉 필요하다고 결정하기 전에 터널이 존재한다는 것입니다. 어느 방식도 터널이 도달할 수 있는 범위를 바꾸지 않으며, 언제 올라오는지만 결정합니다.

업무에 On-Demand 연결이 필요하다면 그것은 설정 변경이 아니라 정책 변경 요청입니다.

목표가 일시적인 연결 해제라면

일부 배포에서는 앱에 Disconnect 컨트롤이 노출되며, Palo Alto Networks는 이를 Mac Disconnect 가이드 에 앱 버전 6.0 이후 기준으로 문서화했습니다. 이 컨트롤은 에이전트 구성이 허용할 때만 나타납니다. 그 구성은 사유, 암호 또는 헬프데스크 티켓을 요구할 수 있고, 연결 해제를 유지할 수 있는 시간이나 빈도를 제한할 수도 있습니다.

서비스를 중지하는 대신 해당 워크플로를 완료하세요. 중지는 연결 해제처럼 보이지만 정책 위반처럼 동작합니다.

강제된 터널을 해제하면 트래픽이 일반 네트워크 경로로 돌아가므로, 캡티브 포털을 디버그할 때 기억해 둘 만합니다.

launch agent 편집이 망가뜨리는 것

흔한 우회 방법은 앱이 시작되지 않도록 launch agent의 RunAtLoad 또는 KeepAlive 키, 또는 비공개 포털 환경설정을 편집하는 것입니다. 다음 정책 새로 고침이나 앱 업데이트 전까지는 작동하는 것처럼 보일 수 있습니다. 그러면 앱과 관리 정책이 서로 어긋나고, 지원 팀이 해석할 수 없는 상태가 됩니다. 또한 조직이 승인한 적 없는 구성으로 기기를 남겨 둡니다.

시작 창을 숨기는 것은 또 다른 요청이며, 여기에는 전용으로 지원되는 인터페이스 환경설정이 있습니다.

정확히 무엇을 요청할지

On-Demand를 이름으로 요청하거나, 조건이 포함된 승인된 Disconnect 워크플로, 또는 로그인 창을 억제하는 지원되는 방법을 요청하세요. 모호한 요청에는 잘못된 답이 돌아오고, 그러면 다시 plist 편집으로 되돌아갑니다. Disconnect 컨트롤은 6.0 이후에만 문서화되어 있으므로 실행 중인 앱 버전도 알려 주세요.

Disconnect 옵션이 없거나 앱이 즉시 다시 연결되면, 할당된 에이전트 구성을 IT에 가져가서 어떤 방식이 우리 그룹에 적용되는지 물어보세요.