Ist die VPN-Erweiterung Ihres Mac aktiviert? Drei Stellen zum Nachsehen

Die Menüleiste meldet verbunden, während die Erweiterungsliste die Komponente weiterhin als nicht aktiviert führt. Beide Anzeigen stammen vom selben Mac, und keine von beiden lügt: Sie beschreiben verschiedene Sachverhalte. macOS hält mindestens drei getrennte Zustände für einen VPN-Client, und Support-Threads werfen sie in einen Satz zusammen, weshalb der Rat zwischen Neuinstallation und Neukonfiguration schwankt. Zu wissen, welcher Zustand tatsächlich fehlt, verwandelt einen Nachmittag voller Vermutungen in eine Prüfung von zwei Minuten.

Diese Zustände haben unterschiedliche Eigentümer und unterschiedliche Orte. Einer gehört zur Erweiterungsregistrierung des Betriebssystems, einer zu der Richtlinie, der das Gerät folgt, und einer zur eigenen Sitzung des Clients. Weil die Eigentümer verschieden sind, ändert eine Korrektur an einem von ihnen selten die anderen beiden.

Drei Zustände, die man mit einem Wort benennt

Die Reihenfolge, in der Sie sie lesen, ist wichtiger als die Liste selbst: Beginnen Sie mit der Registrierung, denn eine Komponente, die nie aktiviert wurde, kann nicht verbunden sein; lesen Sie dann die Richtlinie, die entscheidet, ob eine Aktivierung überhaupt möglich ist; und lesen Sie dann den Client, den einzigen der drei, der eine Sitzung beschreibt. Eine Abweichung oben in dieser Reihenfolge erklärt jedes Symptom darunter, und eine Abweichung unten lässt die beiden darüber unberührt.

Ein konkretes Beispiel für den Unterschied: ein als aktiviert gelesener Registrierungseintrag plus ein Client, der keine Verbindung aufbauen kann, deutet auf das Profil oder den Server, nicht auf die Erweiterung. Die umgekehrte Kombination, ein aktivierter Client neben einer Registrierung, die nichts anzeigt, bedeutet meist, dass die App, die Sie ansehen, nicht die ist, die den Verkehr trägt. Notieren Sie, welche Kombination Sie beobachtet haben, bevor Sie irgendetwas anfassen.

Die Erweiterung finden, ohne dem Symbol zu trauen

Aktuelle Versionen listen Netzwerkerweiterungen unter Systemeinstellungen, Allgemein, Anmeldeobjekte und Erweiterungen. Suchen Sie den Eintrag mit dem Namen des Produkts oder seines Herausgebers und lesen Sie den Schalter daneben statt des Symbols in der Menüleiste. Beschriftungen und Positionen haben sich zwischen macOS-Versionen verschoben, folgen Sie daher den Anweisungen des Herstellers für Ihre Version statt einem Screenshot aus einem älteren Artikel. Ein vollständig fehlender Eintrag bedeutet, dass die Komponente nie installiert wurde, und Profilbearbeitung wird sie nicht herbeizaubern.

systemextensionsctl list
log show --last 10m --predicate 'subsystem == "com.apple.networkextension"' --style compact

Der erste Befehl ist der schnellste Weg zu sehen, was installiert ist und ob sich jede Erweiterung als aktiviert meldet. Der zweite zeigt, warum eine Aktivierung abgelehnt wird, denn die Ablehnung kommt meist als Richtlinien- oder Signaturbeschwerde, die nie die Benutzeroberfläche erreicht. Lesen Sie den Ablehnungstext, bevor Sie etwas ändern: Die Logzeile nennt die Komponente und oft den Grund, was genau das ist, was ein Supportfall braucht. Kopieren Sie die ganze Zeile statt des Satzes, den Sie für wichtig halten, denn Version und Kennung stehen an ihren beiden entgegengesetzten Enden.

Was der Client zugibt und die Liste nicht

Nachdem die Erweiterung bestätigt ist, fragen Sie den Client, ob er ein Profil und eine Sitzung hat, denn ein gespeichertes Profil ohne Verbindung ist ein Konfigurationsproblem, während eine Verbindung ohne Verkehr ein Routing- oder Richtlinienproblem ist. Alle drei als eines zu behandeln schickt Sie zurück zur Neuinstallation einer Komponente, die die ganze Zeit funktionierte.

scutil --nc list
scutil --nc status "Work VPN"

Die Liste zeigt konfigurierte Dienste und ihren Verbindungszustand; der Statusaufruf zeigt den Zustand eines benannten Dienstes und seinen letzten Fehler. Sichern Sie diesen Text und die macOS-Version vor der Neuinstallation, denn die Neuinstallation zerstört die Beweise und reproduziert häufig denselben Fehler.

Wenn die Richtlinie den Schalter besitzt

Auf einem verwalteten Mac kann ein Konfigurationsprofil die Erweiterung in einem festen Zustand halten, und der Schalter wird dann konstruktionsbedingt ausgegraut. Ein nicht verfügbarer Schalter ist eine Richtlinienaussage, kein Fehler, den man umgehen sollte. Das Profil oder die Verwaltungsregistrierung zu löschen, um daranzukommen, ändert die Sicherheitslage des Geräts, wird beim nächsten Check-in zurückgesetzt und hinterlässt eine Maschine, die sich als konform meldet, während ihr die Kontrollen fehlen, die sie konform machten. Dieses Ergebnis ist schlimmer als das ursprüngliche Problem, weil es Ursache und Symptom zugleich verdeckt.

Tragen Sie die Anfrage mit der Erweiterungskennung, dem genauen Ablehnungstext und der Version zum Administrator. Ein verwaltetes Deployment kann eine Netzwerkerweiterung in der Regel zentral in Minuten genehmigen, was sowohl schneller als der Workaround als auch nachträglich prüfbar ist.

Die Korrektur an einer echten Anwendung beweisen

Nach jeder unterstützten Korrektur verbinden Sie sich erneut und testen die Anwendung, für die die VPN existiert, statt das Abzeichen in der Menüleiste. Bestätigen Sie dann, dass Verkehr, der außerhalb des Tunnels bleiben soll, auch außerhalb bleibt, denn eine Korrektur, die still alles durch den Tunnel leitet, ist eine andere Änderung als die beabsichtigte. Ein Zweiminutentest an der echten Anwendung ist mehr wert als ein Abzeichen, das Sie nicht reproduzieren können.

Eine Warnung, solange Sie in dieser Liste sind: Ein Inhaltsfilter ist ebenfalls eine Netzwerkerweiterung. Wenn eine einzelne Seite ausfällt, ist das Deaktivieren jeder Erweiterung im Fenster ein grober Schlag, der unabhängige Filterung für andere Anwendungen zerstört und die nächste Diagnose erschwert, weil er die Komponenten entfernt, die Sie verglichen hätten. Identifizieren Sie die Erweiterung nach Herausgeber und Rolle, bevor Sie sie anfassen, und notieren Sie, welcher der drei Zustände tatsächlich falsch war.