GlobalProtect на Mac підключається під час входу: як це змінити

Ви відкриваєте Mac, і GlobalProtect уже підключений, або він перепідключається щоразу, коли ви входите в систему. Ніщо в застосунку не запитує вас заздалегідь. Параметр, який це спричиняє, міститься в конфігурації агента порталу, а не в вашому обліковому записі, і він не зберігається у файлі, який ви маєте редагувати. Те, що ви бачите, — це метод підключення user-logon, який виконує свою роботу.

Знання того, який метод призначено, підказує вам, що можна змінити, а що потрібно запросити.

Симптом указує на політику

Конфігурація агента порталу визначає, коли підключається GlobalProtect, і два методи, між якими ви обираєте, — це On-Demand, який чекає на вас, і User-logon (Always On), який підключається після входу. Портал також може пропонувати Pre-logon (Always On) на підтримуваних керованих пристроях, що виходить за межі на Mac, куди ви входите самі. Машина, яка підключається сама, майже завжди працює на user-logon. Власні налаштування застосунку можуть показувати стан, але не володіють ним, тому знятий у клієнті прапорець не переживає наступного оновлення політики. Портал передає метод під час підключення і знову за кожного оновлення, тож зміна на боці клієнта є тимчасовою за задумом.

Політика перемагає, щоразу.

Два методи поруч

On-Demand, який застосунок може ще називати ручним, означає, що ви натискаєте підключити, і до того ніщо не підключається. User-logon означає, що тунель піднімається після того, як ви автентифікуєтеся на Mac, чого хоче більшість керованих парків, бо це прибирає вікно, у якому хтось працює без захисту. Компроміс — саме той симптом, який ви помітили: тунель існує до того, як ви вирішили, що він вам потрібен. Жоден метод не змінює, куди тунелю дозволено діставатися; вони вирішують лише, коли він піднімається.

Якщо вашій роботі потрібне підключення On-Demand, це запит на зміну політики, а не зміна налаштування.

Якщо мета — тимчасове відключення

Деякі розгортання показують у застосунку елемент керування Disconnect, і Palo Alto Networks документує його в посібнику Mac Disconnect для версії застосунку 6.0 і новіших. Він з'являється лише тоді, коли конфігурація агента це дозволяє. Ця конфігурація також може вимагати причину, код доступу або заявку до служби підтримки, і може обмежувати, як довго чи як часто ви залишаєтеся відключеним.

Завершіть цей процес замість зупинки служби. Зупинка виглядає як відключення і поводиться як порушення політики.

Відключення примусового тунелю також повертає ваш трафік на звичайний мережевий шлях, що варто пам'ятати, коли ви налагоджуєте портал входу.

Що ламає редагування launch agent

Звичайний обхідний шлях — відредагувати ключі RunAtLoad або KeepAlive launch agent, або приватне налаштування порталу, щоб застосунок не запускався. Це може виглядати працездатним до наступного оновлення політики або застосунку. Тоді застосунок і його керована політика розходяться, що створює стан, про який підтримка не може міркувати. Це також залишає машину в конфігурації, яку організація ніколи не схвалювала.

Приховування вікна запуску — це знову інший запит, і для нього є власне підтримуване налаштування інтерфейсу.

Що саме просити

Просіть On-Demand за назвою, або схвалений процес Disconnect з його умовами, або підтримуваний спосіб придушити вікно входу. На розпливчасті запити відповідають неправильним варіантом, і тоді ви знову повертаєтеся до редагування plist. Зазначте також версію застосунку, яку використовуєте, бо елемент Disconnect задокументовано лише з 6.0.

Якщо опції Disconnect немає або застосунок одразу перепідключається, віднесіть призначену конфігурацію агента до IT і запитайте, який метод застосовується до вашої групи.