GlobalProtect op de Mac verbindt bij inloggen: zo verander je dat

Je opent de Mac en GlobalProtect is al verbonden, of het verbindt opnieuw elke keer dat je inlogt. Niets in de app vraagt het je eerst. De instelling die dit veroorzaakt, staat in de agentconfiguratie van het portaal, niet in je gebruikersaccount, en wordt niet opgeslagen in een bestand dat je hoort te bewerken. Wat je ziet, is de verbindingsmethode user-logon die zijn werk doet.

Weten welke methode is toegewezen, vertelt je wat je kunt wijzigen en wat je moet aanvragen.

Het symptoom wijst op beleid

De agentconfiguratie van het portaal bepaalt wanneer GlobalProtect verbindt, en de twee methoden waaruit je kiest zijn On-Demand, dat op je wacht, en User-logon (Always On), dat na het inloggen verbindt. Een portaal kan op ondersteunde beheerde apparaten ook Pre-logon (Always On) aanbieden, wat buiten bereik valt op een Mac waarop je zelf inlogt. Een machine die vanzelf verbindt, staat bijna altijd op user-logon. De eigen voorkeuren van de app kunnen de status tonen, maar zijn er niet de eigenaar van, waardoor een vinkje dat je in de client weghaalt, de volgende beleidsvernieuwing niet overleeft. Het portaal stuurt de methode bij het verbinden en opnieuw bij elke vernieuwing, dus een wijziging aan de clientkant is ontworpen om tijdelijk te zijn.

Beleid wint, elke keer.

De twee methoden, naast elkaar

On-Demand, dat de app misschien nog manual noemt, betekent dat je op verbinden klikt en er daarvoor niets verbindt. User-logon betekent dat de tunnel opkomt nadat je je op de Mac hebt geauthenticeerd, wat de meeste beheerde parken willen, omdat het het venster wegneemt waarin iemand onbeschermd browst. De afweging is precies het symptoom dat je opmerkte: de tunnel bestaat voordat je besloot dat je hem wilde. Geen van beide methoden verandert wat de tunnel mag bereiken; ze bepalen alleen wanneer hij opkomt.

Als je werk een On-Demand-verbinding nodig heeft, is dat een verzoek om beleidswijziging, geen instellingswijziging.

Als het doel een tijdelijke verbreking is

Sommige implementaties bieden een Disconnect-bediening in de app, en Palo Alto Networks documenteert die in de Mac Disconnect-handleiding voor appversie 6.0 en later. Hij verschijnt alleen als de agentconfiguratie het toestaat. Die configuratie kan ook een reden, een toegangscode of een ticket bij de helpdesk vereisen, en kan beperken hoe lang of hoe vaak je verbroken blijft.

Rond die werkstroom af in plaats van de dienst te stoppen. Stoppen lijkt op een verbreking en gedraagt zich als een beleidsschending.

Het verbreken van een afgedwongen tunnel zet je verkeer ook terug op het gewone netwerkpad, wat het onthouden waard is terwijl je een captive portal debugt.

Wat het bewerken van de launch agent stukmaakt

De gebruikelijke omweg is het bewerken van de RunAtLoad- of KeepAlive-sleutels van de launch agent, of een privé-portaalvoorkeur, om te voorkomen dat de app start. Het kan werken lijken tot de volgende beleidsvernieuwing of app-update. Dan zijn de app en het beheerde beleid het oneens, wat een toestand oplevert waar de supportafdeling niet over kan redeneren. Het laat de machine ook achter in een configuratie die de organisatie nooit heeft goedgekeurd.

Een opstartvenster verbergen is weer een ander verzoek, en daar hoort een eigen ondersteunde interfacevoorkeur bij.

Wat je precies moet vragen

Vraag On-Demand bij naam aan, of een goedgekeurde Disconnect-werkstroom met de bijbehorende voorwaarden, of een ondersteunde manier om het inlogvenster te onderdrukken. Vage verzoeken krijgen het verkeerde antwoord, en dan ben je terug bij het bewerken van plists. Noem ook de appversie die je gebruikt, want de Disconnect-bediening is pas vanaf 6.0 gedocumenteerd.

Als de Disconnect-optie ontbreekt of de app meteen opnieuw verbindt, neem de toegewezen agentconfiguratie mee naar IT en vraag welke methode voor jouw groep geldt.