Cisco Secure Client на Mac: вікно, автопідключення чи перепідключення?

Після входу з'являється щось пов'язане з Cisco, і воно може щось підключати або ні. Вікно, автоматичне підключення та перепідключення після зміни мережі — це три окремі поведінки з трьома окремими власниками. Більшість невдалих спроб прибрати елемент запуску починаються з того, що ці три змішують в одну скаргу. Розділіть їх спочатку, і запит на зміну напишеться сам.

Назвіть поведінку, яку ви справді бачите

Понаблюдайте за одним входом, нічого не торкаючись, і запишіть по порядку, що відбувається. Вікно, що відкривається без підключення, — один випадок, вікно, що відкривається й підключається, — інший, а підключення, що повертається після зміни мережі, — третій. Запитуйте, що насправді встановлює тунель, а не що видно на екрані, бо вікно й тунель мають різних власників. На це відповідають два види доказів, і лише один із них бачить цього клієнта:

scutil --nc list
ps aux | grep -i [v]pnagentd
ifconfig | grep -A3 utun

Читайте три виводи разом, бо scutil --nc list перелічує конфігурації VPN системи і порожній список означає лише, що жодна системна служба VPN не володіє тунелем. Cisco Secure Client таку не реєструє: він завершується через vpnagentd та інтерфейс utun, тож процес та інтерфейс — це докази, які його бачать. Коли vpnagentd працює і інтерфейс utun має адресу, тунель існує навіть із закритим вікном; коли немає жодного, автопідключення вимкнене, і вікно — єдине, про що варто говорити. Інтерфейс може працювати й тоді, коли тунелем володіє окрема фонова служба, тому питання власності належить до розділів профілю, а не до цього.

Вікно під час входу — це питання запуску

Вікно входу походить від агента запуску або від власного налаштування застосунку відкриватися під час входу, і жодне не є тим самим механізмом, що й політика підключення. Перш ніж щось редагувати, визначте встановлений продукт і версію, бо документація старих випусків описує файли, які поточне встановлення може не використовувати. Вимкнення автопідключення не обов'язково зупиняє відкриття вікна, а зупинка вікна не зупиняє перепідключення. Використовуйте підтримуване керування запуском клієнта або програмний процес вашого адміністратора, у цьому порядку.

На керованому Mac переконайтеся, що поведінка надходить через встановлений профіль конфігурації, перш ніж вважати її локальним налаштуванням. Система може перелічити наявні профілі, а керований елемент входу — не ваш для видалення:

profiles show -type configuration

Там, де налаштування контролює користувач, змініть його в налаштуваннях клієнта і вийдіть із системи для перевірки. Там, де воно заблоковане, змінити його може лише власник профілю. Локальне видалення файлів створює розбіжність, яку наступне оновлення тихо виправляє, що робить його найменш тривким доступним рішенням. Сіра позначка — не зламаний клієнт, а заява про політику.

Auto Connect on Start — окреме налаштування

Посібник Cisco щодо підключення називає Auto Connect on Start налаштуванням, що керує спробою підключення під час запуску клієнта, і описує його як вимкнене за замовчуванням. Розгорнутий профіль може його ввімкнути, тому два Mac з однаковим клієнтом поводяться під час входу по-різному. Шукайте це налаштування в параметрах клієнта, перш ніж щось припускати про елементи запуску.

Змініть його через підтримуване керування й перевірте повним виходом із системи, а не перезапуском, бо деякі компоненти запускаються лише із сеансом входу. Потім переконайтеся, що ручне підключення досі працює, адже налаштування, яке придушує автоматичну спробу, не повинно забирати у вас можливість підключатися. Якщо клієнт усе одно одразу перепідключається, ви дивитеся на поведінку перепідключення. Це наступне питання, і в нього інший власник.

Auto Reconnect належить до третього налаштування

Перепідключення визначає, що відбувається після того, як встановлений сеанс втрачає свій шлях: закривається кришка, змінюється мережа Wi-Fi, падає дротове з'єднання. Cisco документує його окремо від поведінки під час запуску, тож зміна запуску його не зачепить. Перевірте його, ненадовго від'єднавши мережу й спостерігаючи, чи повертається тунель без втручання.

Перепідключення, яке ігнорує навмисне від'єднання, зазвичай є політикою, а не помилкою. Деякі розгортання вимагають постійно ввімкненої схеми, і це належить до розмови про політику, а не до обхідного рішення. Видалення компонента, який це забезпечує, може зламати перевірки стану, а потім його відновить наступний керівний поштовх. Якщо вимога законна, запитайте, що вона має гарантувати і чи задовольняє її вужче налаштування; якщо ні, власник профілю може змінити його в одному місці, замість того щоб ви змінювали його на сорока ноутбуках.

Просіть найменшу зміну, а потім перевірте її

Напишіть запит із чотирма фактами: яку збірку клієнта ви запускаєте, яку збірку macOS запускаєте, що з'являється після входу і чи утворюється тунель без втручання. Потім сформулюйте бажаний результат одним реченням, яке колега зможе виконати, не питаючи вас. Залишити клієнт доступним, але закрити його вікно — це інший запит, ніж запобігти автоматичному підключенню. Точний запит отримує зміну політики, а розпливчастий — обхідне рішення, яке нікому не належить.

Після зміни вийдіть із системи та увійдіть знову, потім виконайте сценарій ручного підключення, від якого залежите. Якщо перепідключення було в межах, перевірте його окремо за процедурою, яку дозволяє ваш адміністратор.

Перевірте, чи модулі безпеки, яких вимагає організація, досі працюють, бо тихе видалення легко пропустити, доки його не знайде аудит. Потрібний результат — замовлена поведінка під час запуску з робочим клієнтом, а не зникла піктограма й загадка. Запишіть, яка з трьох поведінок змінилася, щоб наступна людина могла відрізнити справжнє виправлення від збігу.