Mac VPN-kliento: Network Extension kontraŭ System Extension

Du terminoj de Apple estas uzataj kvazaŭ ili nomus la saman aferon, kaj tiu konfuzo sendas homojn al la malĝusta agorda panelo. Network Extension priskribas kapablon: subtenata maniero efektivigi VPN-tunelojn, prokurilojn kaj filtrilojn. System Extensions priskribas liveran kaj aproban mekanismon por etendaĵoj en la uzula spaco. Moderna Mac VPN-kliento kutime bezonas ambaŭ, tial neniu el la du etikedoj sola klarigas simptomon. Apartigi la du respondas, kiun komponanton kontroli kaj kiun aproban paŝon atendi.

Du demandoj, ne unu etikedo

Demandu, kion faras la komponanto, antaŭ ol demandi, kiel ĝi estas instalata. La kapablo decidas, kiu provizanta klaso ekzistas kaj sekve kiu kodo traktas viajn pakojn. La livera mekanismo decidas, kiel alvenas la binara dosiero, kiel ĝi estas aprobata kaj kie ĝia stato estas registrata. Produkto povas efektivigi pakan tunelon sen liveri sisteman etendaĵon en pli malnovaj eldonoj, kaj ĝi povas liveri sisteman etendaĵon, kiu efektivigas ion alian ol tunelon.

Kernaj etendaĵoj estas la tria termino, kiun homoj miksas. Ili estis la pli malnova maniero ruli privilegian retan kodon, ili postulis aliajn aprobojn, kaj Apple jam dum jaroj direktas programistojn for de ili. Apliki recepton pri aprobo de kernaj etendaĵoj al moderna kliento malŝparas tempon ĉe dialogo, kiu neniam aperos.

Legu la disfaldajn notojn de la vendanto por la macOS-versio, kiun vi uzas anstataŭ forumafiŝo el pli frua eldono. La arkitekturo ŝanĝiĝis pli ol unufoje, kaj instrukcioj maljuniĝas malbone. Noto, kiu mencias aprobon de kernaj etendaĵoj, priskribas alian epokon de la produkto.

Kion Network Extension provizas

La kadro provizas provizantajn tipojn por la kutimaj retaj taskoj: paka tunelo por VPN-trafiko, aplika prokurilo por fluoj laŭ aplikaĵo, enhava filtrilo por inspekti trafikon kaj DNS-prokurila traktado por la konduto de la solvilo. La provizanta tipo decidas, kion la etendaĵo povas fari, kaj kliento, kiu liveras du provizantojn, povas fari du malsamajn taskojn.

Tio gravas dum diagnozado, ĉar la sama konekteca simptomo povas veni de tunelo, filtrilo aŭ DNS-prokurilo. Bloki retejon estas decido de filtrilo, malsukceso atingi privatan subreton estas kutime decido de tunelo, kaj solvi la malĝustan adreson estas kutime decido de solvilo. Nomado de la provizanta tipo mallarĝigas la serĉon antaŭ ol iu protokolo estas legata.

Nenio en la kadro implicas sintenon pri privateco. Etendaĵo en la uzula spaco ankoraŭ havas permesojn, agordon kaj funkciiganton malantaŭ si, do traktu la arkitekturon kiel efektivigan detalon, ne kiel signon de fido. Demandu, kiu funkciigas la finpunkton kaj kion ĝi estas agordita kolekti.

Kion ŝanĝas System Extensions

La mekanismo movas privilegian kodon el la kerno en la uzulan spacon, kaj ĝi ŝanĝas kiel la operaciumo petas konsenton. Aktivigo estas aparta paŝo de instalado, kaj la uzanto aŭ MDM-profilo devas permesi ĝin. Kliento, kiu instaliĝas sed neniam aktiviĝas aspektas ĉeesta en la dosierujo Applications kaj faras nenion por konekteco.

La staton registras la sistemo, ne la aplikaĵo, kio utilas ĉar ĝi estas demandebla. La suba komando listigas la etendaĵojn, kiujn la sistemo konas, kaj ilian aktiviĝan staton.

systemextensionsctl list
scutil --nc list

La unua komando respondas, ĉu la komponanto estas instalita kaj aktiva. La dua listigas la VPN-agordojn, kiujn la sistemo tenas, kio estas alia demando kaj ofte tiu, kiu gravas kiam konekta profilo mankas anstataŭ estas rompita.

Kiun kontroli por donita simptomo

Alkongruigu la simptomon al la tavolo antaŭ ol malfermi agordan panelon. Mankanta agordo estas demando pri profilo, instalita sed neaktiva komponanto estas demando pri liverado, kaj aktiva komponanto, kiu ne povas pasigi trafikon, estas demando pri kapablo.

La protokola fluo estas la komuna pruvo por la du lastaj vicoj. Legado de la reta etendaĵa subsistemo diras, kiu provizanto traktis la fluon, kaj decido de filtrilo aspektas alie ol fiasko de tunelo eĉ kiam la uzanto priskribas ambaŭ kiel rompitan VPN.

log show --last 10m --predicate 'process == "nesessionmanager"'

Ne konkludu, ke etendaĵo estas aktiva ĉar menuobreta ikono ĉeestas. Ikonoj postvivas malsukcesajn aktivigojn, kaj malaktuala ikono estas unu el la plej oftaj kialoj, ke subtena voko komenciĝas en la malĝusta loko. Legu anstataŭe la aktiviĝan staton, ĉar tion registras la sistemo.

Aprobo, MDM kaj la mito pri kernaj etendaĵoj

Sur administrataj Mac-oj la aproba paŝo apartenas al la MDM-profilo, kaj uzanto, kiu klakas Allow en System Settings, povas ankoraŭ esti blokita de politiko, kiu ne estis ĝisdatigita. Demandu la labortablan teamon, kiu mekanismo aprobas la etendaĵon por tiu aro, antaŭ ol peti la uzanton klaki ion ajn.

Por neadministrata Mac la aproba invito aperas unufoje, kaj rifuzo povas esti daŭra ĝis la etendaĵo estos reinstalita. Tiu konduto klarigas la maŝinon, kie la kliento funkciis antaŭ operaciuma ĝisdatigo kaj nun raportas konekton, kiu neniam establiĝas.

Notu la provizantan tipon, la aktiviĝan staton kaj la aproban mekanismon por la kliento, kiun vi disfalda. Tiuj tri faktoj respondas al plej multaj estontaj demandoj pri Mac VPN sen remalfermi la diskuton kapablo kontraŭ liverado.