GlobalProtect na Macu łączy się przy logowaniu: jak to zmienić

Otwierasz Maca i GlobalProtect jest już połączony, albo łączy się ponownie za każdym razem, gdy się logujesz. Nic w aplikacji nie pyta cię najpierw. Ustawienie, które to powoduje, znajduje się w konfiguracji agenta portalu, a nie na twoim koncie użytkownika, i nie jest przechowywane w pliku, który powinieneś edytować. To, co widzisz, to metoda połączenia user-logon wykonująca swoją pracę.

Wiedza o tym, która metoda jest przypisana, mówi ci, co możesz zmienić, a o co musisz poprosić.

Objaw wskazuje na politykę

Konfiguracja agenta portalu decyduje, kiedy GlobalProtect się łączy, a dwie metody, między którymi wybierasz, to On-Demand, która czeka na ciebie, i User-logon (Always On), która łączy się po zalogowaniu. Portal może też oferować Pre-logon (Always On) na obsługiwanych urządzeniach zarządzanych, co jest poza zakresem na Macu, na którym logujesz się sam. Maszyna, która łączy się sama, prawie zawsze działa na user-logon. Własne preferencje aplikacji mogą pokazywać stan, ale nie są jego właścicielem, dlatego odznaczenie czegoś w kliencie nie przetrwa następnego odświeżenia polityki. Portal wysyła metodę przy połączeniu i ponownie przy każdym odświeżeniu, więc zmiana po stronie klienta jest z założenia tymczasowa.

Polityka wygrywa, za każdym razem.

Dwie metody, obok siebie

On-Demand, którą aplikacja może nadal nazywać ręczną, oznacza, że klikasz połącz i nic nie łączy się wcześniej. User-logon oznacza, że tunel wstaje po uwierzytelnieniu na Macu, czego chce większość zarządzanych flot, bo usuwa okno, w którym ktoś przegląda bez ochrony. Kompromis to dokładnie ten objaw, który zauważyłeś: tunel istnieje, zanim zdecydowałeś, że go chcesz. Żadna metoda nie zmienia tego, do czego tunel może dotrzeć; decydują tylko, kiedy wstaje.

Jeśli twoja praca wymaga połączenia On-Demand, to prośba o zmianę polityki, a nie zmiana ustawienia.

Jeśli celem jest tymczasowe rozłączenie

Niektóre wdrożenia udostępniają w aplikacji kontrolkę Disconnect, a Palo Alto Networks dokumentuje ją w przewodniku Mac Disconnect dla wersji aplikacji 6.0 i nowszych. Pojawia się tylko wtedy, gdy konfiguracja agenta na to pozwala. Ta konfiguracja może też wymagać powodu, kodu dostępu lub zgłoszenia do pomocy technicznej i może ograniczać, jak długo lub jak często pozostajesz rozłączony.

Ukończ ten przepływ zamiast zatrzymywać usługę. Zatrzymanie jej wygląda jak rozłączenie i zachowuje się jak naruszenie polityki.

Rozłączenie wymuszonego tunelu przywraca też twój ruch na zwykłą ścieżkę sieciową, o czym warto pamiętać podczas debugowania portalu przechwytującego.

Co psuje edycja launch agenta

Zwykłym obejściem jest edycja kluczy RunAtLoad lub KeepAlive launch agenta albo prywatnej preferencji portalu, aby aplikacja nie startowała. Może to wyglądać na działające do następnego odświeżenia polityki lub aktualizacji aplikacji. Wtedy aplikacja i jej zarządzana polityka się nie zgadzają, co tworzy stan, o którym wsparcie nie może wnioskować. Zostawia też maszynę w konfiguracji, której organizacja nigdy nie zatwierdziła.

Ukrycie okna startowego to znów inne żądanie i ma własną obsługiwaną preferencję interfejsu.

O co dokładnie prosić

Poproś o On-Demand z nazwy, albo o zatwierdzony przepływ Disconnect z jego warunkami, albo o obsługiwany sposób wyciszenia okna logowania. Niejasne prośby dostają złą odpowiedź i wtedy wracasz do edycji plistów. Podaj też wersję aplikacji, której używasz, bo kontrolka Disconnect jest udokumentowana dopiero od 6.0.

Jeśli opcja Disconnect nie istnieje albo aplikacja natychmiast łączy się ponownie, zanieś przypisaną konfigurację agenta do IT i zapytaj, która metoda obowiązuje w twojej grupie.