Un fichier PAC détermine le chemin que prend un accès : direct, via le tunnel Zscaler, ou autrement. C'est au fond une fonction JavaScript, et dans beaucoup d'équipes, une seule personne se sent à l'aise avec elle. PAC-Lens lit le fichier réellement actif dans le tenant, vérifie sa syntaxe et indique, via une URL de test, quelle ligne s'applique à un cas concret. Le silence des suppositions devient une ligne que l'on peut montrer du doigt. Même un acquittement en règle du fichier PAC fait gagner du temps, car la recherche se poursuit alors de façon ciblée ailleurs.
Le composant vérifié en dernier
Peu de composants de l'exploitation Zscaler pèsent autant et sont examinés aussi rarement en premier que le fichier PAC. Il détermine quel chemin emprunte une connexion, et le fait discrètement en arrière-plan. Quand un accès se comporte bizarrement, le soupçon se porte généralement d'abord sur la policy ou sur le réseau. Le fichier PAC n'arrive qu'une fois tout le reste écarté.
La raison en est rarement la négligence. Les fichiers PAC sont des scripts proxy auto-config, donc des fonctions JavaScript avec un langage bien à eux. Qui ne les manipule pas régulièrement les lit lentement. Si la seule collègue qui s'y sent à l'aise est absente, le fichier devient une boîte noire : personne n'y touche, de peur de casser quelque chose de plus important.
Cette prudence est justifiée. Un fichier PAC est évalué à chaque établissement de connexion, pour chaque utilisateur, sur chaque site. Une erreur qu'il contient agit immédiatement et largement. D'où un état que beaucoup d'organisations connaissent : le fichier fonctionne, personne ne le comprend entièrement, et tout le monde espère que rien n'aura besoin d'y changer.
Ce que fait PAC-Lens
PAC-Lens récupère le fichier PAC réellement actif dans votre tenant, vérifie la syntaxe et répond à la seule question qui compte au quotidien : quelle ligne s'applique à cette adresse précise ?
Vous saisissez une URL de test et voyez la règle correspondante surlignée dans le code, avec le chemin qu'elle impose. La différence par rapport à la méthode précédente ne tient pas qu'à la rapidité, mais au type de résultat obtenu : une hypothèse devient un constat. La façon dont une adresse de test est saisie et dont la ligne correspondante apparaît directement surlignée dans le code, c'est ce que montre notre vidéo de deux minutes et demie environ à ce sujet.
Le mot « actif » compte ici. Ce qui est vérifié n'est pas une copie du dossier de fichiers, potentiellement vieille de trois modifications, mais la version réellement livrée dans le tenant. C'est précisément cette différence qui, dans le dépannage, s'avère souvent décisive.
Un cas du quotidien
Une utilisatrice signale qu'une application interne est inaccessible au bureau, mais accessible depuis le télétravail. Trois explications sont plausibles : la policy, le réseau ou le fichier PAC. Sans outil, cela se transforme en une chaîne de questions, souvent sur plusieurs niveaux et plusieurs jours.
Avec PAC-Lens, vous testez directement l'adresse concernée et voyez quelle règle PAC s'applique et où elle envoie l'accès. S'il s'avère que le fichier fait passer l'accès à côté du tunnel, la cause est trouvée. S'il s'avère le contraire, le fichier PAC est clairement écarté.
La conversation qui suit a alors une autre qualité. Elle commence par un constat plutôt que par une hypothèse, et l'on peut montrer une ligne que toutes les personnes impliquées voient de la même façon.
Pourquoi un acquittement a tout autant de valeur
Dans le dépannage, ce qui compte n'est pas seulement où se situe le problème, mais aussi où il ne se situe sûrement pas. Un soupçon clairement écarté raccourcit chaque tour suivant, car il évite de suivre deux fois la même piste.
Dans la pratique, c'est le cas le plus fréquent : le fichier PAC est la plupart du temps en ordre. Sauf que personne ne le sait avec certitude à l'avance, et cette incertitude coûte à nouveau du temps à chaque incident.
Si vous travaillez de toute façon sur le fichier PAC
PAC-Lens lit et explique. Pour construire de nouvelles règles, direction PAC Configuration Studio : un assistant guidé qui ne nécessite aucune connaissance JavaScript et utilise le même moteur de traçage que PAC-Lens. Un résultat de test obtenu là-bas est donc tout aussi fiable qu'un constat en direct ici.
Le studio crée, teste et exporte le fichier PAC final, prêt à être importé dans Zscaler. Il n'écrit pas de lui-même dans le tenant. Le fichier final reste entre vos mains, l'import se déroule comme d'habitude.
PAC-Lens lit et explique. Il n'écrit rien dans votre tenant. Les modifications du fichier PAC restent votre démarche propre et délibérée.
Pour suivre cela sans tenant : le PAC Tester gratuit est fourni avec un fichier d'exemple. Réglez l'IP client simulée sur 192.168.1.50 et l'heure simulée sur un jour ouvré, deux adresses empruntent alors deux chemins différents. https://intranet.internal.acme.example/start se termine sur DIRECT, ligne correspondante #3 (dnsDomainIs). https://files.acme-partner.example/report.pdf se termine sur PROXY partner-gw.acme.example:8080, ligne correspondante #5 (shExpMatch). Pour construire d'abord le fichier, exportez-le dans le PAC Builder et chargez exactement ce fichier dans le testeur.
Deux limites en font partie. Le samedi et le dimanche, la ligne #6 de l'exemple renvoie DIRECT pour tout ce qui l'atteint, d'où le jour ouvré. Et le testeur n'effectue aucune requête réseau : pour les noms d'hôtes, isInNet et dnsResolve ne renvoient aucune réponse. Un test réussi indique ce que ce fichier renvoie, pas le comportement de chaque navigateur et de chaque résolveur DNS.
Ce que l'appareil peut apporter
PAC-Lens répond à la question de savoir quelle règle est censée s'appliquer. Une deuxième question reste ouverte : quel chemin emprunte réellement un appareil donné ? Là où CentaurNexusAgent est installé, cette perspective s'ajoute. Il mesure régulièrement le chemin et détecte si un accès passe par Zscaler. À côté de la règle figure ainsi l'observation faite depuis le poste de travail.
Les deux ensemble rendent le diagnostic plus solide : la règle indique ce qui doit s'appliquer, la mesure ce qui arrive réellement. S'ils divergent, cet écart constitue déjà en soi le constat.
L'agent ne collecte à cet égard explicitement aucune adresse visitée, aucun nom d'hôte et aucun contenu de page. Ce qui est transmis, ce sont des valeurs d'état, pas des contenus.
Questions fréquentes
Qu'est-ce qu'un fichier PAC ?
Un fichier proxy auto-config est une fonction JavaScript qui indique au navigateur, pour chaque adresse, quel chemin l'accès doit emprunter : direct, via un proxy ou via le tunnel Zscaler. Elle est évaluée à chaque établissement de connexion.
Pourquoi un fichier PAC est-il si difficile à vérifier ?
Parce que c'est du code de programme et non une liste de règles. Pour savoir quelle ligne s'applique à une adresse donnée, il faut dérouler la fonction mentalement. C'est source d'erreurs et cela prend du temps.
PAC-Lens nécessite-t-il des droits d'administrateur Zscaler ?
PAC-Lens est piloté par les rôles et lit le fichier PAC actif via la connexion existante. Qui a le droit d'utiliser quelle vue se définit par des rôles, sans devoir distribuer largement des droits d'administrateur.
Puis-je aussi construire de nouvelles règles PAC avec cela ?
C'est à cela que sert PAC Configuration Studio. Il crée et teste de nouvelles règles via un assistant guidé et utilise le même moteur de traçage que PAC-Lens. Le fichier final est exporté pour être importé.
PAC-Lens modifie-t-il quelque chose dans ma configuration ?
Non. PAC-Lens lit le fichier actif et l'évalue. Il n'écrit rien dans le tenant.
Sources
Voir le déroulement dans son contexte
Choisissez le rôle correspondant dans le lanceur de démo. La démo utilise des données d'exemple préparées.
Ouvrir le lanceur de démo