Mac 上的 GlobalProtect 在登录时自动连接：如何更改

你打开 Mac，GlobalProtect 已经连上，或者每次登录时它都会重新连接。应用里没有任何提示先征求你的意见。导致这一点的设置 位于门户的代理配置中，而不在你的用户账户里，它也不存放在你应当编辑的文件中。你看到的现象，是 user-logon 连接方式在发挥作用。

知道分配的是哪种方式，就能判断哪些可以自己改、哪些必须去申请。

症状指向策略

门户的代理配置决定 GlobalProtect 何时连接，你可以在两种方式中选择：等待你操作的 On-Demand，以及登录后自动连接的 User-logon（Always On）。门户还可以在受支持的受管设备上提供 Pre-logon（Always On），这在你自己登录的 Mac 上不适用。自行连接的机器几乎总是处于 user-logon。应用自身的偏好设置可以显示状态，但并不拥有该状态，因此在客户端取消勾选后，下一次策略刷新就会恢复。门户会在连接时推送该方式，并在每次刷新时再次推送，所以客户端上的改动在设计上就是临时的。

策略永远优先。

两种方式对比

On-Demand 可能仍被应用标为手动，意思是你点击连接之前不会有任何连接。User-logon 意思是在你通过 Mac 身份验证后隧道就会建立，这正是大多数受管设备群想要的，因为它消除了有人无保护上网的时间窗口。代价恰恰就是你注意到的症状：在你决定是否需要之前，隧道就已经存在。两种方式都不会改变隧道可以访问的范围，只决定它何时建立。

如果你的工作需要 On-Demand 连接，那是策略变更申请，而不是偏好设置更改。

如果目标是临时断开连接

有些部署会在应用中提供 Disconnect 控件，Palo Alto Networks 在 Mac Disconnect 指南 中针对应用 6.0 及更高版本作了说明。只有在代理配置允许时它才会出现。该配置还可能要求填写原因、提供密码或提交服务台工单，并且可以限制断开的时长或频率。

请完成该流程，而不要停止服务。停止服务看起来像断开连接，行为上却等同于违反策略。

断开强制隧道还会让你的流量回到普通网络路径，排查登录门户时值得记住这一点。

编辑 launch agent 会破坏什么

常见的绕行办法是编辑 launch agent 的 RunAtLoad 或 KeepAlive 键值，或某个私有门户偏好，以阻止应用启动。它可能看起来有效，直到下一次策略刷新或应用更新。之后应用与其受管策略不一致，产生支持团队无法推断的状态。它还会让机器停留在组织从未批准的配置中。

隐藏启动窗口又是另一项申请，它有自己受支持的界面偏好设置。

具体该申请什么

按名称申请 On-Demand，或申请带条件的已批准 Disconnect 流程，或申请受支持的抑制登录窗口的方式。含糊的申请会得到错误的答复，然后你又回到编辑 plist。还要说明你运行的应用版本，因为 Disconnect 控件仅从 6.0 起有文档说明。

如果缺少 Disconnect 选项，或者应用立即重新连接，请把分配的代理配置带给 IT，并询问你们组适用哪种方式。