Cisco Secure Client pe Mac: fereastră, conectare automată sau reconectare?

După autentificare apare ceva legat de Cisco și poate sau nu să conecteze ceva. Fereastra, conectarea automată și reconectarea după o schimbare de rețea sunt trei comportamente separate cu trei responsabili separați. Majoritatea încercărilor frustrate de a elimina un element de pornire încep prin a le contopi pe acestea trei într-o singură plângere. Separați-le mai întâi și cererea de schimbare se scrie singură.

Numiți comportamentul pe care îl vedeți de fapt

Urmăriți o autentificare fără să atingeți nimic și notați în ordine ce se întâmplă. O fereastră care se deschide fără conexiune este un caz, o fereastră care se deschide și se conectează este altul, iar o conexiune care revine după schimbarea rețelei este al treilea. Întrebați ce stabilește de fapt tunelul, nu ce apare pe ecran, pentru că fereastra și tunelul au proprietari diferiți. Două tipuri de dovezi răspund la asta și doar unul dintre ele vede acest client:

scutil --nc list
ps aux | grep -i [v]pnagentd
ifconfig | grep -A3 utun

Citiți cele trei ieșiri împreună, pentru că scutil --nc list listează configurațiile VPN ale sistemului și o listă goală înseamnă doar că niciun serviciu VPN de sistem nu deține un tunel. Cisco Secure Client nu înregistrează niciunul: se termină prin vpnagentd și o interfață utun, deci procesul și interfața sunt dovezile care îl văd. Când vpnagentd rulează și o interfață utun are adresă, tunelul există chiar și cu fereastra închisă; când niciuna nu este prezentă, conectarea automată este oprită și fereastra este singurul subiect de discuție. Front end-ul poate rula și când un serviciu de fundal separat deține tunelul, așa că întrebarea despre proprietate ține de secțiunile de profil și nu de aceasta.

Fereastra de la autentificare este o chestiune de pornire

O fereastră de autentificare provine dintr-un agent de pornire sau din preferința aplicației de a se deschide la autentificare, iar niciuna nu este același mecanism ca politica de conectare. Identificați produsul și versiunea instalate înainte de a edita ceva, pentru că documentația versiunilor mai vechi descrie fișiere pe care o instalare actuală poate să nu le folosească. Dezactivarea conectării automate nu oprește neapărat deschiderea ferestrei, iar oprirea ferestrei nu oprește o reconectare. Folosiți controlul de pornire acceptat al clientului sau procesul software al administratorului, în această ordine.

Pe un Mac administrat, confirmați dacă comportamentul vine printr-un profil de configurare instalat înainte de a-l trata ca preferință locală. Sistemul poate lista profilurile pe care le are, iar un element de autentificare administrat nu este al dumneavoastră pentru ștergere:

profiles show -type configuration

Unde setarea este controlabilă de utilizator, schimbați-o în preferințele clientului și deconectați-vă pentru testare. Unde este blocată, doar proprietarul profilului o poate schimba. Ștergerea fișierelor local produce o diferență pe care următoarea actualizare o repară în tăcere, ceea ce o face cea mai puțin durabilă soluție disponibilă. O casetă estompată nu este un client defect; este o declarație de politică.

Auto Connect on Start este o preferință separată

Ghidul de conectare al Cisco numește Auto Connect on Start preferința care controlează o încercare de conectare la lansarea clientului și o descrie ca fiind oprită implicit. Un profil implementat o poate activa, motiv pentru care două Mac-uri cu același client se comportă diferit la autentificare. Căutați acea preferință în setările clientului înainte de a presupune ceva despre elementele de pornire.

Schimbați-o prin controlul acceptat și testați cu o deconectare completă în loc de o repornire, pentru că unele componente pornesc doar cu sesiunea de autentificare. Apoi confirmați că conectarea manuală încă funcționează, întrucât o preferință care suprimă încercarea automată nu ar trebui să vă elimine capacitatea de a vă conecta. Dacă clientul se reconectează oricum imediat, priviți comportamentul de reconectare. Aceasta este următoarea întrebare și are un alt responsabil.

Auto Reconnect aparține unei a treia setări

Reconectarea guvernează ce se întâmplă după ce o sesiune stabilită își pierde calea: capacul se închide, rețeaua Wi-Fi se schimbă, o legătură prin cablu cade. Cisco o documentează separat de comportamentul de pornire, așa că o schimbare de pornire nu o va atinge. Testați-o deconectând rețeaua pentru o clipă și urmărind dacă tunelul revine fără intervenție.

O reconectare care ignoră o deconectare deliberată este de obicei politică, nu un bug. Unele implementări cer o configurație permanent activă, care ține de o discuție despre politică și nu de un ocol. Eliminarea componentei care o impune poate rupe verificările de postură și apoi poate fi restaurată de următorul push de gestionare. Dacă cerința este legitimă, întrebați ce ar trebui să garanteze și dacă o setare mai îngustă o satisface; dacă nu este, proprietarul profilului o poate schimba într-un singur loc în loc să o schimbați dumneavoastră pe patruzeci de laptopuri.

Cereți cea mai mică schimbare și apoi verificați-o

Scrieți cererea cu patru fapte: ce versiune a clientului rulați, ce versiune de macOS rulați, ce apare după autentificare și dacă se formează un tunel fără intervenție. Apoi enunțați rezultatul dorit într-o propoziție pe care un coleg ar putea-o implementa fără să vă întrebe. A păstra clientul disponibil dar a-i închide fereastra este o cerere diferită de a împiedica o conectare automată. O cerere precisă obține o schimbare de politică, iar una vagă obține un ocol pe care nimeni nu îl deține.

După schimbare, deconectați-vă și reconectați-vă, apoi rulați fluxul de conectare manuală de care depindeți. Dacă reconectarea a fost în domeniu, testați-o separat conform procedurii permise de administratorul dumneavoastră.

Verificați dacă modulele de securitate cerute de organizație încă rulează, pentru că o eliminare silențioasă este ușor de ratat până când un audit o găsește. Rezultatul dorit este comportamentul de pornire cerut cu un client funcțional, nu o pictogramă absentă și un mister. Notați care dintre cele trei comportamente s-a schimbat, ca următoarea persoană să poată distinge o corectare reală de o coincidență.