Cisco Secure Client na Macu: okno, automatické pripojenie alebo opätovné pripojenie?

Po prihlásení sa objaví niečo súvisiace s Cisco a môže, ale nemusí niečo pripájať. Okno, automatické pripojenie a opätovné pripojenie po zmene siete sú tri odlišné správania s tromi odlišnými vlastníkmi. Väčšina frustrovaných pokusov odstrániť položku spustenia sa začína tým, že sa tieto tri zlejú do jednej sťažnosti. Najprv ich rozdeľte a žiadosť o zmenu sa napíše sama.

Pomenujte správanie, ktoré skutočne vidíte

Sledujte jedno prihlásenie bez toho, aby ste sa čohokoľvek dotkli, a zapíšte v poradí, čo sa deje. Okno, ktoré sa otvorí bez pripojenia, je jeden prípad, okno, ktoré sa otvorí a pripojí, je druhý, a pripojenie, ktoré sa vráti po zmene siete, je tretí. Pýtajte sa, čo tunel skutočne vytvára, nie čo vidno na obrazovke, pretože okno a tunel majú rôznych vlastníkov. Odpovedajú na to dva druhy dôkazov a iba jeden z nich vidí tohto klienta:

scutil --nc list
ps aux | grep -i [v]pnagentd
ifconfig | grep -A3 utun

Prečítajte tri výstupy spolu, pretože scutil --nc list uvádza konfigurácie VPN systému a prázdny zoznam znamená len to, že žiadna systémová služba VPN nevlastní tunel. Cisco Secure Client žiadny neregistruje: končí sa cez vpnagentd a rozhranie utun, takže proces a rozhranie sú dôkazy, ktoré ho vidia. Keď vpnagentd beží a rozhranie utun má adresu, tunel existuje aj so zavretým oknom; keď nie je ani jedno, automatické pripojenie je vypnuté a okno je jediná vec na rozhovor. Front end môže bežať aj vtedy, keď tunel vlastní samostatná služba na pozadí, takže otázka vlastníctva patrí sekciám profilu a nie tejto.

Okno pri prihlásení je otázka spustenia

Okno prihlásenia pochádza z agenta spustenia alebo z vlastného nastavenia aplikácie otvárať sa pri prihlásení, a ani jedno nie je ten istý mechanizmus ako politika pripojenia. Pred akoukoľvek úpravou zistite nainštalovaný produkt a verziu, pretože dokumentácia starších vydaní opisuje súbory, ktoré aktuálna inštalácia nemusí používať. Vypnutie automatického pripojenia nemusí zastaviť otváranie okna a zastavenie okna nezastaví opätovné pripojenie. Použite podporovanú kontrolu spustenia klienta alebo softvérový proces správcu, v tomto poradí.

Na spravovanom Macu potvrďte, či správanie prichádza cez nainštalovaný konfiguračný profil, skôr než ho budete považovať za lokálne nastavenie. Systém môže uviesť profily, ktoré má, a spravovaná položka prihlásenia nie je vaša na vymazanie:

profiles show -type configuration

Kde je nastavenie pod kontrolou používateľa, zmeňte ho v nastaveniach klienta a odhláste sa, aby ste to otestovali. Kde je uzamknuté, môže ho zmeniť iba vlastník profilu. Lokálne odstránenie súborov vytvára rozdiel, ktorý ďalšia aktualizácia potichu opraví, čo z neho robí najmenej trvácne dostupné riešenie. Sivé zaškrtávacie pole nie je pokazený klient; je to vyhlásenie o politike.

Auto Connect on Start je samostatná preferencia

Príručka Cisco o pripojení nazýva Auto Connect on Start preferenciou, ktorá riadi pokus o pripojenie pri spustení klienta, a opisuje ju ako štandardne vypnutú. Nasadený profil ju môže zapnúť, a preto sa dva Macy s rovnakým klientom pri prihlásení správajú odlišne. Hľadajte túto preferenciu v nastaveniach klienta, kým čokoľvek predpokladáte o položkách spustenia.

Zmeňte ju cez podporovanú kontrolu a otestujte úplným odhlásením namiesto reštartu, pretože niektoré komponenty sa spúšťajú len s prihlasovacou reláciou. Potom potvrďte, že manuálne pripojenie stále funguje, keďže preferencia potláčajúca automatický pokus by vám nemala brať schopnosť pripojiť sa. Ak sa klient aj tak okamžite znova pripojí, pozeráte sa na správanie opätovného pripojenia. To je ďalšia otázka a má iného vlastníka.

Auto Reconnect patrí tretiemu nastaveniu

Opätovné pripojenie riadi, čo sa deje po tom, čo etablovaná relácia stratí svoju cestu: zatvorenie veka, zmena siete Wi-Fi, výpadok káblového spojenia. Cisco ho dokumentuje oddelene od správania pri spustení, takže zmena spustenia sa ho nedotkne. Otestujte ho krátkym odpojením siete a sledovaním, či sa tunel vráti bez zásahu.

Opätovné pripojenie, ktoré ignoruje úmyselné odpojenie, je zvyčajne politika, nie chyba. Niektoré nasadenia vyžadujú vždy zapnuté usporiadanie, ktoré patrí do rozhovoru o politike a nie do obchádzky. Odstránenie komponentu, ktorý ho vynucuje, môže pokaziť kontroly postoja a potom ho obnoví ďalší tlak správy. Ak je požiadavka legitímna, opýtajte sa, čo má zaručiť a či ju užšie nastavenie splní; ak nie je, vlastník profilu ju môže zmeniť na jednom mieste namiesto toho, aby ste ju menili na štyridsiatich notebookoch.

Požiadajte o najmenšiu zmenu a potom ju overte

Napíšte žiadosť so štyrmi faktmi: ktorú verziu klienta spúšťate, ktorú verziu macOS spúšťate, čo sa objaví po prihlásení a či sa tunel vytvorí bez zásahu. Potom vyjadrite želaný výsledok jednou vetou, ktorú by kolega mohol vykonať bez toho, aby sa vás pýtal. Ponechať klienta dostupného, ale zavrieť jeho okno, je iná žiadosť než zabrániť automatickému pripojeniu. Presná žiadosť získa zmenu politiky, zatiaľ čo vágna získa obchádzku, ktorú nikto nevlastní.

Po zmene sa odhláste a znova prihláste, potom spustite manuálny postup pripojenia, od ktorého závisíte. Ak bolo opätovné pripojenie v rozsahu, otestujte ho samostatne podľa postupu, ktorý váš správca povoľuje.

Skontrolujte, či bezpečnostné moduly, ktoré organizácia vyžaduje, stále bežia, pretože tiché odstránenie sa dá ľahko prehliadnuť, kým ho nenájde audit. Výsledok, ktorý chcete, je požadované správanie pri spustení s fungujúcim klientom, nie chýbajúca ikona a záhada. Zapíšte, ktoré z troch správaní sa zmenilo, aby ďalší človek dokázal odlíšiť skutočnú opravu od náhody.