Cisco Secure Client на Mac: окно, автоподключение или переподключение?

После входа появляется что-то связанное с Cisco, и оно может что-то подключать, а может и нет. Окно, автоматическое подключение и переподключение после смены сети — три разных поведения с тремя разными владельцами. Большинство безуспешных попыток убрать элемент автозапуска начинаются с того, что эти три смешивают в одну жалобу. Разделите их сначала, и запрос на изменение напишется сам.

Назовите поведение, которое вы действительно видите

Понаблюдайте за одним входом, ничего не трогая, и запишите по порядку, что происходит. Окно, открывающееся без подключения, — один случай, окно, которое открывается и подключается, — другой, а подключение, возвращающееся после смены сети, — третий. Спрашивайте, что на самом деле устанавливает туннель, а не что видно на экране, потому что у окна и туннеля разные владельцы. На это отвечают два вида доказательств, и только одно из них видит этого клиента:

scutil --nc list
ps aux | grep -i [v]pnagentd
ifconfig | grep -A3 utun

Читайте три вывода вместе, потому что scutil --nc list перечисляет конфигурации VPN системы и пустой список означает лишь, что ни одна системная служба VPN не владеет туннелем. Cisco Secure Client такую не регистрирует: он завершается через vpnagentd и интерфейс utun, поэтому процесс и интерфейс — это доказательства, которые его видят. Когда vpnagentd работает и у интерфейса utun есть адрес, туннель существует даже при закрытом окне; когда нет ни того, ни другого, автоподключение выключено, и окно — единственное, о чём стоит говорить. Интерфейс может работать и тогда, когда туннелем владеет отдельная фоновая служба, поэтому вопрос владения относится к разделам профиля, а не к этому.

Окно при входе — это вопрос автозапуска

Окно входа происходит от агента запуска или от собственной настройки приложения открываться при входе, и ни то ни другое не является тем же механизмом, что политика подключения. Прежде чем что-либо менять, определите установленный продукт и версию, потому что документация старых выпусков описывает файлы, которые текущая установка может не использовать. Отключение автоподключения не обязательно останавливает открытие окна, а остановка окна не останавливает переподключение. Используйте поддерживаемое управление запуском клиента или программный процесс вашего администратора, в этом порядке.

На управляемом Mac убедитесь, что поведение приходит через установленный профиль конфигурации, прежде чем считать его локальной настройкой. Система может перечислить имеющиеся профили, а управляемый элемент входа — не ваш для удаления:

profiles show -type configuration

Там, где настройка управляется пользователем, измените её в настройках клиента и выйдите из системы для проверки. Там, где она заблокирована, изменить её может только владелец профиля. Локальное удаление файлов создаёт расхождение, которое следующее обновление молча исправляет, что делает его наименее долговечным доступным решением. Серая галочка — не сломанный клиент, а заявление о политике.

Auto Connect on Start — отдельная настройка

Руководство Cisco по подключению называет Auto Connect on Start настройкой, управляющей попыткой подключения при запуске клиента, и описывает её как выключенную по умолчанию. Развёрнутый профиль может её включить, поэтому два Mac с одним и тем же клиентом ведут себя при входе по-разному. Ищите эту настройку в параметрах клиента, прежде чем что-либо предполагать об элементах автозапуска.

Измените её через поддерживаемое управление и проверьте полным выходом из системы, а не перезапуском, потому что некоторые компоненты запускаются только с сеансом входа. Затем убедитесь, что ручное подключение по-прежнему работает, ведь настройка, подавляющая автоматическую попытку, не должна отнимать у вас возможность подключаться. Если клиент всё равно сразу переподключается, вы смотрите на поведение переподключения. Это следующий вопрос, и у него другой владелец.

Auto Reconnect относится к третьей настройке

Переподключение определяет, что происходит после того, как установленный сеанс теряет свой путь: закрывается крышка, меняется сеть Wi-Fi, обрывается проводное соединение. Cisco документирует его отдельно от поведения при запуске, поэтому изменение автозапуска его не затронет. Проверьте его, ненадолго отключив сеть и наблюдая, вернётся ли туннель без вмешательства.

Переподключение, игнорирующее намеренное отключение, обычно является политикой, а не ошибкой. Некоторые развёртывания требуют постоянно включённой схемы, и это относится к разговору о политике, а не к обходному решению. Удаление компонента, который это обеспечивает, может сломать проверки состояния, а затем он будет восстановлен следующим управляющим толчком. Если требование законно, спросите, что оно должно гарантировать и удовлетворяет ли ему более узкая настройка; если нет, владелец профиля может изменить её в одном месте, вместо того чтобы вы меняли её на сорока ноутбуках.

Просите минимальное изменение, а затем проверяйте его

Напишите запрос с четырьмя фактами: какая сборка клиента у вас запущена, какая сборка macOS запущена, что появляется после входа и образуется ли туннель без вмешательства. Затем сформулируйте желаемый результат одним предложением, которое коллега сможет выполнить, не спрашивая вас. Оставить клиент доступным, но закрыть его окно — это другой запрос, чем предотвратить автоматическое подключение. Точный запрос получает изменение политики, а расплывчатый — обходное решение, у которого нет владельца.

После изменения выйдите из системы и войдите снова, затем выполните сценарий ручного подключения, от которого зависите. Если переподключение было в области охвата, проверьте его отдельно по процедуре, которую разрешает ваш администратор.

Проверьте, что модули безопасности, требуемые организацией, всё ещё работают, потому что тихое удаление легко пропустить, пока его не найдёт аудит. Нужный результат — запрошенное поведение при запуске с работающим клиентом, а не исчезнувший значок и загадка. Запишите, какое из трёх поведений изменилось, чтобы следующий человек смог отличить настоящую правку от совпадения.