GlobalProtect no macOS: instalação, certificado e ligação

No macOS, o cliente VPN (Virtual Private Network) da rede da tua empresa não vem da App Store: o pacote do GlobalProtect está apenas no portal da tua organização. A Palo Alto Networks não publica um link de descarregamento no site — o objectivo é garantir que cada utilizador recebe a versão correcta do seu deployment de GlobalProtect ou de Prisma Access. Antes de avançar, pede ao teu administrador o endereço do portal — um IP ou um FQDN (Fully Qualified Domain Name), por exemplo um endereço IP:porta conforme o deployment — uns ambientes ficam com o IP público no 4443, outros no 8443, depende da porta configurada: o exemplo deste guia é 192.0.2.10:4443 — e confirma as credenciais a usar, normalmente as mesmas da rede interna.

Este guia percorre o caminho completo da app 6.1 no macOS — a Palo Alto já tem 6.2 e 6.3 nos docs, o fluxo em Mac mantém-se: login no portal, download, instalação com o GlobalProtect Installer, autorização das extensões de sistema, o pop-up do Keychain quando a autenticação usa certificado de cliente e a ligação final ao gateway até o estado Connected.

Antes de começar

Junta o essencial numa lista antes de instalar:

• Endereço do portal — IP ou FQDN que o administrador fornece. É dele que sai a app e a configuração.
• Utilizador e palavra-passe — normalmente os mesmos da rede interna da empresa.
• Privilégios de administrador no Mac — só quem os tem consegue instalar a app e permitir as extensões de sistema do macOS.
• macOS suficiente — a doc cita Catalina 10.15.4/Big Sur 11 ou posterior a propósito do salto para a app 5.1.4, e esse mínimo mantém-se nas extensões de sistema da 6.1.

Confirma a versão do macOS antes de arrancar:

sw_vers

Descarregar a app a partir do portal

1. Abre o browser e vai ao endereço do portal, por exemplo https://192.0.2.10:4443.
2. Na página de login do portal introduz o utilizador e a Password e clica LOG IN.
3. A página de descarregamento surge logo após o login — é ela que serve o pacote mais recente. Se o administrador tiver o GlobalProtect Clientless VPN activado, abre-se em vez disso a página de aplicações com os atalhos SSO (single sign-on) e o link GlobalProtect Agent fica no canto superior direito.
4. Clica em Download Mac 32/64 bit GlobalProtect agent.

A página de login do portal GlobalProtect

Instalar com o GlobalProtect Installer

Abre o pacote descarregado e confirma Run the software quando o macOS pedir, seguido de Run the GlobalProtect Installer. A janela guia-te em cinco passos:

1. Introduction — no ecrã de boas-vindas do instalador, clica Continue.
2. Destination Select — confirma o disco onde instalar (normalmente Macintosh HD é o pré-seleccionado) e clica Continue.
3. Installation Type — a caixa GlobalProtect fica marcada. A caixa GlobalProtect System extensions vem desactivada por defeito e só se marca quando o administrador configurou split tunnel por domínio e aplicação no gateway ou Enforce GlobalProtect Connections for Network Access no portal. Depois clica Continue.
4. Installation — clica Install, introduz o User Name e a Password de administrador e confirma com Install Software.
5. Summary — quando aparecer The installation was successful, fecha o instalador com Close.

O primeiro ecrã do GlobalProtect Installer

O passo Destination Select com o disco da máquina

O passo Installation Type com as caixas de componentes

O pedido de password de administrador durante a instalação

O ecrã final do instalador

Dois extras que aparecem a meio:

• Se o portal instalar o agente do Autonomous DEM (ADEM) junto da app, confirma com OK no pop-up que surge na primeira instalação.
• Se a instalação for uma actualização numa máquina que já tem a app, o painel Installation Type mostra a acção Upgrade e as caixas de desinstalação ficam inactivas — é o normal.

A caixa de System extensions vale a atenção: mal marcada num portal que as exige, o pop-up de bloqueio regressa mais tarde, na primeira ligação.

Permitir as extensões de sistema

O pop-up System Extension Blocked do macOS

Security & Privacy do macOS com a opção Allow apps downloaded

Num macOS Catalina 10.15.4+ ou Big Sur 11+, a app já não usa extensões de kernel (o antigo com.paloaltonetworks.kext.pangpd desapareceu) e trabalha com extensões de sistema e interfaces utun como adaptador virtual. Sem essas extensões aprovadas, funções como o split tunnel por domínio e aplicação ou o Enforce GlobalProtect não funcionam.

Quando o pop-up System Extension Blocked aparecer — durante a instalação ou na primeira ligação — faz o seguinte:

1. No pop-up, clica Open Security Preferences — em macOS 13 Ventura e posteriores abre o caminho actual: Definições do Sistema → Privacidade e Segurança, onde a opção Allow aparece na área Allow applications from. Em macOS 12 Monterey e anteriores é o ecrã clássico do print: abre Preferências do Sistema → Security → Privacy, clica no cadeado, confirma como administrador e mantém App Store and identified developers na área Allow apps downloaded from. Em ambos clica Allow na mensagem System software from application GlobalProtect was blocked from loading.
2. Clica Allow na mensagem System software from application GlobalProtect was blocked from loading.

Ainda sobre permissões: com HIP checks (verificações do Host Information Profile) activadas, o macOS mostra pop-ups extra a pedir acesso a ficheiros em Documents, Desktop, Downloads e discos de rede. E se a empresa gere os Macs por MDM (Mobile Device Management), como o Jamf Pro, os pedidos podem estar suprimidos — quem distribui as extensões a sério é a ferramenta de gestão.

Autorizar o certificado no Keychain

O pop-up do Keychain levantado pelo PanGPS para o certificado

Se o portal ou o gateway do teu deployment usa autenticação por certificado de cliente, o primeiro arranque da app dispara o pop-up do Keychain: PanGPS wants to sign using key Configuration Profiles in your keychain, com um campo Password e três botões.

O botão decide a tua vida nos meses seguintes, portanto escolhe consciente:

• Always Allow — o recomendado. A app usa o certificado sem voltar a pedir. O pop-up só reaparece quando o certificado expira ou é renovado.
• Allow — pede a password a cada ligação ao GlobalProtect. Funciona, mas aborrece.
• Deny — sem acesso ao keychain não há túnel. Se o clicaste por engano, volta a iniciar a ligação e aproveita o pop-up para autorizar.

Introduz a password do keychain login e clica Always Allow. O GlobalProtect só estabelece o túnel depois de lhe abrires o acesso ao keychain de login do teu utilizador.

Ligar à VPN e escolher o gateway

A página Welcome da app na primeira abertura

O painel da app com o campo Portal e o botão Connect

A lista Change Gateway com o gateway activo assinalado

Num setup com login manual, o fluxo é o seguinte:

1. Abre a app pelo ícone na barra de menus — abre-se o painel de estado.
2. Se for a primeira vez, a app mostra a página Welcome! — clica Get Started.
3. Introduz o endereço do portal no campo Portal e clica Connect.
4. Se o administrador exigir credenciais, introduz o utilizador e a palavra-passe e clica Sign In. Com assinatura biométrica activada, assinas por password duas vezes (uma para gravar, outra para autenticar) e depois pelo fingerprint.
5. Confirma o estado pelo ícone da barra de menus: cinzento significa desligado.

Por defeito a app liga ao Best Available gateway, assinalado com um visto no menu pendente. Para fixar outro gateway:

• Clica na estrela junto ao gateway na lista Change Gateway — a app liga-se automaticamente a ele a partir daí.
• A escolha manual aparece no dropdown e o campo Search Gateways pesquisa na lista quando o administrador configurou gateways externos manuais.

Verificar a ligação e as Definições

A janela Settings da app com a ligação Connected

Abre o menu (hambúrguer) e clica Settings — o painel GlobalProtect Settings tem seis separadores:

Para voltar a autenticar depois de trocar a palavra-passe da rede, clica Sign Out no fundo do painel Settings e liga de novo com as credenciais novas. Com o método On-Demand, o botão Disconnect no painel de estado corta a sessão quando quiseres.

Desinstalar o GlobalProtect

A caixa Uninstall GlobalProtect no instalador

Precisas de privilégios de administrador. O caminho limpo volta a usar o instalador:

1. Descarrega de novo o pacote no portal e abre o GlobalProtect Installer.
2. No passo Installation Type, marca a caixa Uninstall GlobalProtect e clica Continue.
3. Clica Install, introduz o User Name e a Password e confirma com Install Software.
4. Se o administrador activou as extensões de sistema, o macOS pede a password para as remover — introduz e clica OK.

Sem o instalador à mão, corre o script no terminal:

sudo /Applications/GlobalProtect.app/Contents/Resources/uninstall_gp.sh

Erros comuns

• O pop-up System Extension Blocked insiste mesmo depois de Allow — quando os Macs são geridos por MDM, são as ferramentas de gestão que distribuem as extensões. Reporta o caso ao administrador.
• Autorizei Deny no Keychain e a VPN não liga — sem acesso ao keychain de login não há túnel. Volta a iniciar a ligação para o pop-up reaparecer e autoriza com Always Allow.
• O painel fica em Not Connected com o portal certo — confirma o endereço exacto do portal (IP ou FQDN) e verifica a rede e a ligação HTTPS (HyperText Transfer Protocol Secure) até à porta configurada — o portal por defeito fica na 443, mas o deployment pode ter 4443 ou 8443.
• Depois do login não aparece a página de downloads — é a página de aplicações do Clientless VPN. O link GlobalProtect Agent está no canto superior direito.
• O ícone da app está cinzento — estado normal de desligado. O painel de estado mostra Connected quando o túnel está activo.

Checklist rápida

1. Endereço do portal e credenciais guardadas.
2. Versão do macOS confirmada no sw_vers.
3. Login no portal com LOG IN.
4. Download Mac 32/64 bit GlobalProtect agent descarregado.
5. Instalação completa nos cinco passos do instalador.
6. System extensions permitidas em Security & Privacy, quando o deployment as exige.
7. Certificado autorizado com Always Allow no Keychain, na autenticação por certificado.
8. Portal preenchido e Connect premido na primeira ligação.
9. Estado Connected confirmado no painel e estatísticas visíveis em Settings.
10. Gateway preferido marcado com a estrela, se houver escolha a fixar.

Artigos Relacionados

• Palo Alto Networks 2026
• Tailscale na PME: Rede Mesh como Alternativa à VPN Clássica
• NetBird: VPN Mesh Self-Hosted com WireGuard para PME

Fontes oficiais

• GlobalProtect App User Guide 6.1 — App for macOS — a árvore completa do guia Mac, com o PDF para consulta offline.
• Download and Install the GlobalProtect App for macOS — login no portal, download e os cinco passos do instalador com os pop-ups ilustrados.
• Use the GlobalProtect App for macOS — ligação, escolha de gateway, os seis separadores de Settings e o fluxo de Sign Out.
• Enable the GlobalProtect App for macOS to Use Client Certificates for Authentication — os três botões do pop-up do Keychain e o que cada um muda.
• Uninstall the GlobalProtect App for macOS — a desinstalação pelo instalador e o script de terminal.
• Artigo KB Palo Alto — carregar network extensions com Jamf Pro — distribuição automática das extensões por MDM nos Macs geridos.