GlobalProtect på Mac kobler til ved pålogging: slik endrer du det

Du åpner Macen og GlobalProtect er allerede tilkoblet, eller det kobler til på nytt hver gang du logger på. Ingenting i appen spør deg først. Innstillingen som forårsaker dette, ligger i portalens agentkonfigurasjon, ikke i brukerkontoen din, og den lagres ikke i en fil du er ment å redigere. Det du ser, er tilkoblingsmetoden user-logon som gjør jobben sin.

Når du vet hvilken metode som er tildelt, vet du hva du kan endre og hva du må be om.

Symptomet peker på policy

Portalens agentkonfigurasjon avgjør når GlobalProtect kobler til, og de to metodene du velger mellom, er On-Demand, som venter på deg, og User-logon (Always On), som kobler til etter pålogging. En portal kan også tilby Pre-logon (Always On) på støttede administrerte enheter, noe som er utenfor rekkevidde på en Mac du selv logger på. En maskin som kobler til av seg selv, er nesten alltid på user-logon. Appens egne innstillinger kan vise tilstanden, men de eier den ikke, og derfor overlever ikke et fjernet hakemerke i klienten den neste policyoppdateringen. Portalen sender metoden når du kobler til og igjen ved hver oppdatering, så en endring på klientsiden er midlertidig av design.

Policy vinner, hver gang.

De to metodene, side om side

On-Demand, som appen kanskje fortsatt kaller manuell, betyr at du klikker koble til og ingenting kobler til før det. User-logon betyr at tunnelen kommer opp etter at du autentiserer deg mot Macen, noe de fleste administrerte flåter ønsker, fordi det fjerner vinduet der noen surfer ubeskyttet. Avveiningen er nøyaktig symptomet du la merke til: tunnelen finnes før du bestemte deg for at du ville ha den. Ingen av metodene endrer hva tunnelen får lov til å nå; de avgjør bare når den kommer opp.

Hvis arbeidet ditt trenger en On-Demand-tilkobling, er det en forespørsel om policyendring, ikke en innstillingsendring.

Hvis målet er en midlertidig frakobling

Noen utrullinger viser en Disconnect-kontroll i appen, og Palo Alto Networks dokumenterer den i Mac Disconnect-veiledningen for appversjon 6.0 og nyere. Den vises bare når agentkonfigurasjonen tillater det. Den konfigurasjonen kan også kreve en grunn, en tilgangskode eller en billett hos brukerstøtten, og den kan begrense hvor lenge eller hvor ofte du blir frakoblet.

Fullfør den arbeidsflyten i stedet for å stoppe tjenesten. Å stoppe den ser ut som en frakobling og oppfører seg som et policybrudd.

Å koble fra en tvungen tunnel setter også trafikken din tilbake på den vanlige nettverksveien, noe som er verdt å huske mens du feilsøker en innloggingsportal.

Hva redigering av launch agent ødelegger

Den vanlige omveien er å redigere launch agent-ens RunAtLoad- eller KeepAlive-nøkler, eller en privat portalinnstilling, for å hindre at appen starter. Det kan se ut som det virker til neste policyoppdatering eller appoppdatering. Da er appen og den administrerte policyen uenige, noe som gir en tilstand støtte ikke kan resonnere om. Det etterlater også maskinen i en konfigurasjon organisasjonen aldri har godkjent.

Å skjule et oppstartsvindu er igjen en annen forespørsel, og den har sin egen støttede grensesnittinnstilling.

Hva du bør be om, presist

Be om On-Demand ved navn, eller en godkjent Disconnect-arbeidsflyt med vilkårene sine, eller en støttet måte å undertrykke påloggingsvinduet. Vage forespørsler besvares med den gale, og da er du tilbake til å redigere plists. Nevn også appversjonen du kjører, fordi Disconnect-kontrollen først er dokumentert fra 6.0.

Hvis Disconnect-alternativet mangler eller appen kobler til igjen umiddelbart, ta med den tildelte agentkonfigurasjonen til IT og spør hvilken metode som gjelder for gruppen din.