GlobalProtect pe Mac se conectează la autentificare: cum schimbați asta

Deschideți Macul și GlobalProtect este deja conectat, sau se reconectează de fiecare dată când vă autentificați. Nimic din aplicație nu vă întreabă mai întâi. Setarea care provoacă acest lucru se află în configurația agentului portalului, nu în contul dumneavoastră de utilizator, și nu este stocată într-un fișier pe care ar trebui să îl editați. Ceea ce vedeți este metoda de conectare user-logon făcându-și treaba.

Să știți ce metodă este atribuită vă spune ce puteți schimba și ce trebuie să cereți.

Simptomul indică politica

Configurația agentului portalului decide când se conectează GlobalProtect, iar cele două metode între care alegeți sunt On-Demand, care vă așteaptă, și User-logon (Always On), care se conectează după autentificare. Un portal poate oferi și Pre-logon (Always On) pe dispozitive gestionate acceptate, ceea ce este în afara domeniului pe un Mac la care vă autentificați singur. O mașină care se conectează de la sine este aproape întotdeauna pe user-logon. Preferințele aplicației pot afișa starea, dar nu o dețin, motiv pentru care debifarea a ceva în client nu supraviețuiește următoarei reîmprospătări a politicii. Portalul trimite metoda la conectare și din nou la fiecare reîmprospătare, așa că o modificare pe partea clientului este temporară prin proiectare.

Politica câștigă, de fiecare dată.

Cele două metode, una lângă alta

On-Demand, pe care aplicația poate încă să o numească manual, înseamnă că faceți clic pe conectare și nimic nu se conectează înainte. User-logon înseamnă că tunelul se ridică după ce vă autentificați pe Mac, ceea ce majoritatea flotelor gestionate doresc, pentru că elimină fereastra în care cineva navighează fără protecție. Compromisul este exact simptomul pe care l-ați observat: tunelul există înainte să fi decis că îl doriți. Niciuna dintre metode nu schimbă ce are voie să atingă tunelul; ele decid doar când se ridică.

Dacă munca dumneavoastră are nevoie de o conexiune On-Demand, aceasta e o cerere de modificare a politicii, nu o schimbare de preferință.

Dacă scopul este o deconectare temporară

Unele implementări expun un control Disconnect în aplicație, iar Palo Alto Networks îl documentează în ghidul Mac Disconnect pentru versiunea 6.0 a aplicației și mai nou. Acesta apare doar când configurația agentului îl permite. Acea configurație poate cere și un motiv, un cod de acces sau un tichet la serviciul de asistență și poate limita cât timp sau cât de des rămâneți deconectat.

Finalizați acel flux în loc să opriți serviciul. Oprirea lui arată ca o deconectare și se comportă ca o încălcare a politicii.

Deconectarea unui tunel impus readuce traficul pe calea obișnuită de rețea, ceea ce merită reținut în timp ce depanați un portal de autentificare.

Ce strică editarea launch agent

Soluția obișnuită este să editați cheile RunAtLoad sau KeepAlive ale launch agent-ului, sau o preferință privată a portalului, ca aplicația să nu pornească. Poate părea că funcționează până la următoarea reîmprospătare a politicii sau actualizare a aplicației. Apoi aplicația și politica ei gestionată nu mai sunt de acord, ceea ce produce o stare despre care suportul nu poate raționa. Lasă și mașina într-o configurație pe care organizația nu a aprobat-o niciodată.

Ascunderea unei ferestre de pornire este din nou o altă cerere și are propria preferință de interfață acceptată.

Ce anume să cereți

Cereți On-Demand pe nume, sau un flux Disconnect aprobat cu condițiile lui, sau o modalitate acceptată de a suprima fereastra de autentificare. Cererile vagi primesc răspunsul greșit, iar apoi reveniți la editarea plist-urilor. Menționați și versiunea de aplicație pe care o rulați, pentru că controlul Disconnect este documentat doar de la 6.0 încolo.

Dacă opțiunea Disconnect lipsește sau aplicația se reconectează imediat, duceți configurația de agent atribuită la IT și întrebați ce metodă se aplică grupului dumneavoastră.