Cliente de Acesso Seguro Global para Windows

O cliente Global Secure Access, um componente essencial do Global Secure Access, ajuda as organizações a gerenciar e proteger o tráfego de rede em dispositivos de usuários finais. O principal papel do cliente é rotear o tráfego que precisa ser protegido pelo Global Secure Access para o serviço de nuvem. Todo o restante tráfego vai diretamente para a rede. Os Perfis de Encaminhamento, configurados no portal, determinam qual tráfego o cliente Global Secure Access encaminha para o serviço de nuvem.

Este artigo descreve como baixar e instalar o cliente Global Secure Access para Windows.

Pré-requisitos

• Um locatário do Entra integrado ao Global Secure Access.
• Um dispositivo gerenciado associado ao locatário integrado. O dispositivo deve ser associado ao Microsoft Entra ou híbrido do Microsoft Entra.
  • Os dispositivos registados do Microsoft Entra não são suportados.
• O cliente Global Secure Access requer versões de 64 bits do Windows 10 ou Windows 11.
  • A sessão única do Ambiente de Trabalho Virtual do Azure é suportada.
  • Não há suporte para várias sessões da Área de Trabalho Virtual do Azure.
  • O Windows 365 é suportado.
• As credenciais de administrador local são necessárias para instalar ou atualizar o cliente.
• O cliente Global Secure Access requer licenciamento. Para obter detalhes, consulte a seção de licenciamento de O que é o Acesso Seguro Global. Se necessário, você pode comprar licenças ou obter licenças de avaliação.

Transferir o cliente

A versão mais recente do cliente Global Secure Access está disponível para download no centro de administração do Microsoft Entra.

1. Entre no centro de administração do Microsoft Entra como um Administrador de Acesso Seguro Global.
2. Navegue até Download do Global Secure Access>Connect>Client.
3. Selecione Download Client.

Instalar o cliente Global Secure Access

Instalação automatizada

As organizações podem instalar o cliente Global Secure Access silenciosamente com o /quiet switch ou usar soluções de Gerenciamento de Dispositivo Móvel (MDM), como o Microsoft Intune , para implantar o cliente em seus dispositivos.

Instalação manual

Para instalar manualmente o cliente Global Secure Access:

1. Execute o GlobalSecureAccessClient.exe arquivo de instalação. Aceite os termos de licença de software.
2. O cliente instala e silenciosamente inicia sessão com as suas credenciais do Microsoft Entra. Se a entrada silenciosa falhar, o instalador solicitará que você entre manualmente.
3. Inicie sessão. O ícone de conexão fica verde.
4. Passe o cursor sobre o ícone de conexão para abrir a notificação de status do cliente, que deve ser exibida como Conectado.
   

Ações do cliente

Para visualizar as ações disponíveis do menu do cliente, clique com o botão direito do mouse no ícone da bandeja do sistema Global Secure Access.

Indicadores de status do cliente

Notificação de status

Clique duas vezes no ícone Global Secure Access para abrir a notificação de status do cliente e exibir o status de cada canal configurado para o cliente.

Status do cliente no ícone da bandeja do sistema

Ícone	Mensagem	Description
	Cliente de Acesso Seguro Global	O cliente está inicializando e verificando sua conexão com o Global Secure Access.
	Cliente Global Secure Access - Conectado	O cliente está conectado ao Global Secure Access.
	Cliente Global Secure Access - Desativado	O cliente está desativado porque os serviços estão offline ou o usuário desabilitou o cliente.
	Cliente Global Secure Access - Desconectado	O cliente não conseguiu se conectar ao Global Secure Access.
	Global Secure Access Client - Alguns canais estão inacessíveis	O cliente está parcialmente conectado ao Global Secure Access (ou seja, a conexão com pelo menos um canal falhou: Entra, Microsoft 365, Private Access, Internet Access).
	Global Secure Access Client - Desativado pela sua organização	Sua organização desabilitou o cliente (ou seja, todos os perfis de encaminhamento de tráfego estão desabilitados).
	Acesso Seguro Global - O Acesso Privado está desativado	O utilizador desativou o Acesso Privado neste dispositivo.
	Acesso Seguro Global - não foi possível conectar-se à Internet	O cliente não conseguiu detetar uma conexão com a Internet. O dispositivo está ligado a uma rede que não tem uma ligação à Internet ou a uma rede que requer início de sessão cativo no portal.

Limitações conhecidas

As limitações conhecidas para a versão atual do cliente Global Secure Access incluem:

Sistema de Nomes de Domínio Seguro (DNS)

Atualmente, o cliente Global Secure Access não oferece suporte a DNS seguro em suas diferentes versões, como DNS sobre HTTPS (DoH), DNS sobre TLS (DoT) ou DNS Security Extensions (DNSSEC). Para configurar o cliente para que ele possa adquirir tráfego de rede, você deve desativar o DNS seguro. Para desativar o DNS seguro no navegador, consulte DNS seguro desativado em navegadores.

DNS sobre TCP

O DNS usa a porta 53 UDP para resolução de nomes. Alguns navegadores têm seu próprio cliente DNS que também suporta a porta 53 TCP. Atualmente, o cliente Global Secure Access não suporta a porta DNS 53 TCP. Como atenuação, desative o cliente DNS do navegador definindo os seguintes valores do Registro:

• Microsoft Edge
  [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge] "BuiltInDnsClientEnabled"=dword:00000000
• Chrome
  [HKEY_CURRENT_USER\Software\Policies\Google\Chrome] "BuiltInDnsClientEnabled"=dword:00000000
  Adicione também navegação chrome://flags e desative o Async DNS resolver.

IPv6 não suportado

O cliente encapsula apenas o tráfego IPv4. O tráfego IPv6 não é adquirido pelo cliente e, portanto, é transferido diretamente para a rede. Para permitir que todo o tráfego relevante seja encapsulado, defina as propriedades do adaptador de rede como IPv4 preferencial.

Fallback de conexão

Se houver um erro de conexão com o serviço de nuvem, o cliente retornará à conexão direta com a Internet ou bloqueará a conexão, com base no valor de proteção da regra correspondente no perfil de encaminhamento.

Geolocalização

Para o tráfego de rede encapsulado para o serviço de nuvem, o servidor de aplicativos (site) deteta o IP de origem da conexão como o endereço IP da borda (e não como o endereço IP do dispositivo do usuário). Esse cenário pode afetar os serviços que dependem da geolocalização.

Suporte à virtualização

Não é possível instalar o cliente Global Secure Access em um dispositivo que hospeda máquinas virtuais. No entanto, você pode instalar o cliente Global Secure Access em uma máquina virtual, desde que o cliente não esteja instalado na máquina host. Pela mesma razão, um Subsistema Windows para Linux (WSL) não adquire tráfego de um cliente instalado na máquina host.

Proxy

Se um proxy estiver configurado no nível do aplicativo (como um navegador) ou no nível do sistema operacional, configure um arquivo de configuração automática de proxy (PAC) para excluir todos os FQDNs e IPs que você espera que o cliente túnel.

Para evitar que solicitações HTTP para FQDNs/IPs específicos sejam encapsuladas no proxy, adicione os FQDNs/IPs ao arquivo PAC como exceções. (Esses FQDNs/IPs estão no perfil de encaminhamento do Global Secure Access para tunelamento). Por exemplo:

function FindProxyForURL(url, host) {   
        if (isPlainHostName(host) ||   
            dnsDomainIs(host, ".microsoft.com") || // tunneled 
            dnsDomainIs(host, ".msn.com")) // tunneled 
           return "DIRECT";                    // If true, sets "DIRECT" connection 
        else                                   // If not true... 
           return "PROXY 10.1.0.10:8080";  // forward the connection to the proxy
}

Se não for possível uma conexão direta com a Internet, configure o cliente para se conectar ao serviço Global Secure Access por meio de um proxy. Por exemplo, defina a grpc_proxy variável de sistema para corresponder ao valor do proxy, como http://proxy:8080.

Para aplicar as alterações de configuração, reinicie os serviços do Windows do cliente Global Secure Access.

Injeção de pacotes

O cliente apenas túneis tráfego enviado usando soquetes. Ele não encapsula o tráfego injetado na pilha de rede usando um driver (por exemplo, parte do tráfego gerado pelo Network Mapper (Nmap)). Os pacotes injetados vão diretamente para a rede.

Múltiplas sessões

O cliente Global Secure Access não suporta sessões simultâneas na mesma máquina. Esta limitação aplica-se a servidores RDP e soluções VDI como o Azure Virtual Desktop (AVD) que estão configurados para várias sessões.

Braço64

O cliente Global Secure Access não suporta a arquitetura Arm64.

QUIC não suportado para acesso à Internet

Como o QUIC ainda não é suportado para acesso à Internet, o tráfego para as portas 80 UDP e 443 UDP não pode ser encapsulado.

Os administradores podem desativar o protocolo QUIC acionando os clientes para recorrer a HTTPS sobre TCP, que é totalmente suportado no Acesso à Internet. Para obter mais informações, consulte QUIC não suportado para acesso à Internet.

Resolução de Problemas

Para solucionar problemas do cliente Global Secure Access, clique com o botão direito do mouse no ícone do cliente na barra de tarefas e selecione uma das opções de solução de problemas: Coletar logs ou Diagnóstico avançado.

Para obter informações mais detalhadas sobre como solucionar problemas do cliente Global Secure Access, consulte os seguintes artigos:

• Solucionar problemas do cliente Global Secure Access: diagnósticos avançados
• Solucionar problemas do cliente Global Secure Access: guia Verificação de integridade

Chaves de registo do cliente

O cliente Global Secure Access usa chaves de registro específicas para habilitar ou desabilitar diferentes funcionalidades. Os administradores podem utilizar soluções de Gestão de Dispositivos Móveis (MDM), como o Microsoft Intune ou a Política de Grupo, para controlar os valores de registo.

Desativar ou ativar o Acesso Privado no cliente

Esse valor do Registro controla se o Acesso Privado está habilitado ou desabilitado para o cliente. Se um usuário estiver conectado à rede corporativa, ele poderá optar por ignorar o Acesso Seguro Global e acessar diretamente aplicativos privados.

Os usuários podem desativar e ativar o Acesso Privado através do menu da bandeja do sistema.

Os administradores podem desativar ou habilitar o Acesso Privado para o usuário definindo a chave do Registro:
Computer\HKEY_CURRENT_USER\Software\Microsoft\Global Secure Access Client

Se o valor do Registro não existir, o valor padrão será 0x0, o Acesso Privado estará habilitado.

Ocultar ou reexibir botões de menu da bandeja do sistema

O administrador pode mostrar ou ocultar botões específicos no menu de ícones da bandeja do sistema do cliente. Crie os valores sob a seguinte chave do Registro:
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Global Secure Access Client

Para obter mais informações, consulte Orientação para configurar o IPv6 no Windows para usuários avançados.