GlobalProtect no Mac conecta no início de sessão: como alterar isso

Abre o Mac e o GlobalProtect já está conectado, ou volta a conectar sempre que inicia sessão. Nada na aplicação pergunta primeiro. A definição que provoca isto está na configuração do agente do portal, não na sua conta de utilizador, e não é guardada num ficheiro que deva editar. O que vê é o método de ligação user-logon a fazer o seu trabalho.

Saber qual método está atribuído diz-lhe o que pode alterar e o que tem de pedir.

O sintoma aponta para a política

A configuração do agente do portal decide quando o GlobalProtect se liga, e os dois métodos entre os quais escolhe são o On-Demand, que espera por si, e o User-logon (Always On), que se liga após o início de sessão. Um portal também pode oferecer Pre-logon (Always On) em dispositivos geridos suportados, o que fica fora do âmbito num Mac em que inicia sessão por si próprio. Uma máquina que se liga sozinha está quase sempre em user-logon. As preferências da própria aplicação podem mostrar o estado, mas não são donas dele, e é por isso que desmarcar algo no cliente não sobrevive à atualização de política seguinte. O portal envia o método quando se liga e novamente em cada atualização, pelo que uma alteração do lado do cliente é temporária por conceção.

A política ganha, sempre.

Os dois métodos, lado a lado

O On-Demand, que a aplicação pode ainda rotular como manual, significa que clica em ligar e nada se liga antes disso. O User-logon significa que o túnel sobe depois de se autenticar no Mac, que é o que a maioria das frotas geridas quer, porque elimina a janela em que alguém navega sem proteção. O compromisso é exatamente o sintoma que notou: o túnel existe antes de ter decidido que o queria. Nenhum método altera o que o túnel pode alcançar; apenas decidem quando ele sobe.

Se o seu trabalho precisa de uma ligação On-Demand, isso é um pedido de alteração de política, não uma alteração de preferência.

Se o objetivo é uma desconexão temporária

Algumas implementações expõem um controlo Disconnect na aplicação, e a Palo Alto Networks documenta-o no guia Mac Disconnect para a versão 6.0 da aplicação e seguintes. Só aparece quando a configuração do agente o permite. Essa configuração pode também exigir um motivo, um código de acesso ou um ticket do help desk, e pode limitar quanto tempo ou com que frequência fica desligado.

Conclua esse fluxo em vez de parar o serviço. Pará-lo parece uma desconexão e comporta-se como uma violação da política.

Desligar um túnel imposto também devolve o seu tráfego ao caminho de rede normal, o que vale a pena recordar enquanto depura um portal de início de sessão.

O que a edição do launch agent quebra

O truque habitual é editar as chaves RunAtLoad ou KeepAlive do launch agent, ou uma preferência privada do portal, para impedir que a aplicação arranque. Pode parecer funcionar até à próxima atualização de política ou da aplicação. Aí a aplicação e a política gerida discordam, o que produz um estado sobre o qual o suporte não consegue raciocinar. Também deixa a máquina numa configuração que a organização nunca aprovou.

Ocultar uma janela de arranque é ainda outro pedido, e tem a sua própria preferência de interface suportada.

O que pedir, com precisão

Peça On-Demand pelo nome, ou um fluxo Disconnect aprovado com as suas condições, ou uma forma suportada de suprimir a janela de início de sessão. Os pedidos vagos recebem a resposta errada, e depois volta a editar plists. Mencione também a versão da aplicação que utiliza, porque o controlo Disconnect só está documentado a partir da 6.0.

Se a opção Disconnect faltar ou a aplicação voltar a ligar-se de imediato, leve a configuração de agente atribuída ao IT e pergunte que método se aplica ao seu grupo.