PAC-Datei live prüfen: welche Zeile wirklich greift

Die Komponente, die zuletzt geprüft wird

Kaum ein Baustein im Zscaler-Betrieb entscheidet so viel und wird so selten zuerst angesehen wie die PAC-Datei. Sie bestimmt, welchen Weg eine Verbindung nimmt, und tut das leise im Hintergrund. Verhält sich ein Zugriff merkwürdig, wandert der Verdacht meist zuerst zur Policy oder ins Netzwerk. Die PAC-Datei kommt an die Reihe, wenn alles andere ausgeschlossen ist.

Der Grund dafür ist selten Nachlässigkeit. PAC-Dateien sind Proxy-Auto-Config-Skripte, also JavaScript-Funktionen mit einer eigenen Formsprache. Wer sie nicht regelmäßig anfasst, liest sie langsam. Fehlt die eine Kollegin, die sich sicher fühlt, wird die Datei zur Blackbox: Niemand ändert etwas, aus Sorge, etwas Wichtigeres zu brechen.

Diese Vorsicht ist berechtigt. Eine PAC-Datei wird bei jedem Verbindungsaufbau ausgewertet, für jeden Nutzer, an jedem Standort. Ein Fehler darin wirkt sofort und breit. Deshalb entsteht ein Zustand, den viele Häuser kennen: Die Datei funktioniert, niemand versteht sie ganz, und alle hoffen, dass sich daran nichts ändern muss.

Was PAC Lens tut

PAC Lens holt die tatsächlich aktive PAC-Datei aus Ihrem Tenant, prüft die Syntax und beantwortet die eine Frage, um die es im Alltag geht: Welche Zeile greift für diese konkrete Adresse?

Sie geben eine Test-URL ein und sehen die zutreffende Regel im Code markiert, zusammen mit dem Weg, den sie vorschreibt. Der Unterschied zum bisherigen Vorgehen ist nicht die Geschwindigkeit allein, sondern die Art des Ergebnisses: Aus einer Vermutung wird ein Befund.

Wichtig ist dabei das Wort "aktiv". Geprüft wird nicht eine Kopie aus dem Dateiablage-Ordner, die vielleicht drei Änderungen alt ist, sondern die Fassung, die im Tenant tatsächlich ausgeliefert wird. Genau dieser Unterschied ist in der Fehlersuche oft der entscheidende.

Ein Fall aus dem Alltag

Eine Nutzerin meldet, eine interne Anwendung sei im Büro nicht erreichbar, im Homeoffice dagegen schon. Drei Erklärungen sind plausibel: die Policy, das Netzwerk oder die PAC-Datei. Ohne Werkzeug wird daraus eine Kette von Rückfragen, oft über mehrere Ebenen und mehrere Tage.

Mit PAC-Lens testen Sie die betroffene Adresse direkt und sehen, welche PAC-Regel greift und wohin sie den Zugriff schickt. Zeigt sich, dass die Datei den Zugriff am Tunnel vorbeischickt, ist die Ursache gefunden. Zeigt sich das Gegenteil, ist die PAC-Datei sauber ausgeschlossen.

Das Gespräch, das danach folgt, hat eine andere Qualität. Es beginnt mit einem Befund statt mit einer Vermutung, und es lässt sich auf eine Zeile zeigen, über die alle Beteiligten dasselbe sehen.

Warum ein Freispruch genauso wertvoll ist

In der Fehlersuche zählt nicht nur, wo das Problem liegt, sondern auch, wo es sicher nicht liegt. Ein sauber ausgeschlossener Verdacht verkürzt jede weitere Runde, weil er verhindert, dass dieselbe Spur zweimal verfolgt wird.

Im Alltag ist das der häufigere Fall: Die PAC-Datei ist meistens in Ordnung. Nur weiß das vorher niemand mit Sicherheit, und diese Unsicherheit kostet in jeder Störung erneut Zeit.

Wenn Sie ohnehin an der PAC-Datei arbeiten

PAC-Lens liest und erklärt. Wer neue Regeln bauen will, findet das in PAC Configuration Studio: einem geführten Baukasten, der ohne eigene JavaScript-Kenntnisse auskommt und dieselbe Trace-Engine nutzt wie PAC-Lens. Ein Testergebnis dort ist damit genauso belastbar wie ein Live-Befund hier.

Das Studio erstellt, testet und exportiert die fertige PAC-Datei zum Hochladen in Zscaler. Es schreibt nicht selbsttätig in den Tenant. Die fertige Datei bleibt in Ihrer Hand, der Upload läuft wie gewohnt.

Was das Endgerät dazu beitragen kann

PAC-Lens beantwortet, welche Regel greifen soll. Eine zweite Frage bleibt offen: Welchen Weg nimmt ein bestimmtes Gerät tatsächlich? Wo der CentaurNexusAgent installiert ist, kommt diese Sicht hinzu. Er misst regelmäßig den Pfad und erkennt, ob ein Zugriff über Zscaler läuft. Neben der Regel steht damit die Beobachtung vom Arbeitsplatz aus.

Beides zusammen macht die Diagnose belastbarer: die Regel sagt, was gelten soll, die Messung, was ankommt. Weichen sie voneinander ab, ist das selbst schon der Befund.

Der Agent erhebt dabei ausdrücklich keine besuchten Adressen, keine Hostnamen und keine Seiteninhalte. Übertragen werden Zustandswerte, keine Inhalte.