GlobalProtect на Mac подключается при входе: как это изменить

Вы открываете Mac, и GlobalProtect уже подключён, или он переподключается каждый раз, когда вы входите в систему. Ничто в приложении не спрашивает вас заранее. Параметр, который это вызывает, находится в конфигурации агента портала, а не в вашей учётной записи, и он не хранится в файле, который вы должны редактировать. То, что вы видите, — это метод подключения user-logon, выполняющий свою работу.

Знание того, какой метод назначен, говорит вам, что можно изменить, а что нужно запросить.

Симптом указывает на политику

Конфигурация агента портала определяет, когда подключается GlobalProtect, и два метода, между которыми вы выбираете, — это On-Demand, который ждёт вас, и User-logon (Always On), который подключается после входа. Портал также может предлагать Pre-logon (Always On) на поддерживаемых управляемых устройствах, что выходит за рамки на Mac, куда вы входите сами. Машина, которая подключается сама, почти всегда работает на user-logon. Собственные настройки приложения могут отображать состояние, но не владеют им, поэтому снятая в клиенте галочка не переживает следующее обновление политики. Портал передаёт метод при подключении и снова при каждом обновлении, так что изменение на стороне клиента по замыслу временно.

Политика побеждает, каждый раз.

Два метода рядом

On-Demand, который приложение может по-прежнему называть ручным, означает, что вы нажимаете подключить, и до этого ничего не подключается. User-logon означает, что туннель поднимается после того, как вы аутентифицируетесь на Mac, чего хочет большинство управляемых парков, потому что это убирает окно, в котором кто-то работает без защиты. Компромисс — ровно тот симптом, который вы заметили: туннель существует до того, как вы решили, что он вам нужен. Ни один метод не меняет, куда туннелю разрешено попадать; они решают только, когда он поднимается.

Если вашей работе нужно подключение On-Demand, это запрос на изменение политики, а не изменение настройки.

Если цель — временное отключение

Некоторые развёртывания показывают в приложении элемент управления Disconnect, и Palo Alto Networks документирует его в руководстве Mac Disconnect для версии приложения 6.0 и новее. Он появляется только тогда, когда конфигурация агента это разрешает. Та конфигурация также может требовать причину, код доступа или заявку в службу поддержки и может ограничивать, как долго или как часто вы остаётесь отключённым.

Завершите этот процесс вместо остановки службы. Остановка выглядит как отключение и ведёт себя как нарушение политики.

Отключение принудительного туннеля также возвращает ваш трафик на обычный сетевой путь, что стоит помнить при отладке портала авторизации.

Что ломает редактирование launch agent

Обычный обходной путь — отредактировать ключи RunAtLoad или KeepAlive launch agent, либо приватную настройку портала, чтобы приложение не запускалось. Это может выглядеть работающим до следующего обновления политики или приложения. Затем приложение и его управляемая политика расходятся, что создаёт состояние, о котором поддержка не может рассуждать. Это также оставляет машину в конфигурации, которую организация никогда не одобряла.

Скрыть окно запуска — это снова другой запрос, и для него есть собственная поддерживаемая настройка интерфейса.

Что именно просить

Просите On-Demand по имени, либо одобренный процесс Disconnect с его условиями, либо поддерживаемый способ подавить окно входа. На расплывчатые запросы отвечают неправильным вариантом, и тогда вы снова возвращаетесь к правке plist. Укажите также версию приложения, которую используете, потому что элемент Disconnect документирован только с 6.0.

Если вариант Disconnect отсутствует или приложение сразу переподключается, отнесите назначенную конфигурацию агента в IT и спросите, какой метод применяется к вашей группе.