Cliente VPN de Mac: Network Extension frente a System Extension

Dos términos de Apple se usan como si nombraran lo mismo, y esa confusión lleva a la gente al panel de ajustes equivocado. Network Extension describe una capacidad: una forma compatible de implementar túneles VPN, proxies y filtros. System Extensions describe un mecanismo de entrega y aprobación para extensiones en el espacio de usuario. Un cliente VPN moderno para Mac suele necesitar ambos, por lo que ninguna de las dos etiquetas explica por sí sola un síntoma. Separar las dos responde qué componente inspeccionar y qué paso de aprobación esperar.

Dos preguntas, no una etiqueta

Pregunte qué hace el componente antes de preguntar cómo se instala. La capacidad decide qué clase de proveedor existe y, por tanto, qué código maneja sus paquetes. El mecanismo de entrega decide cómo llega el binario, cómo se aprueba y dónde se registra su estado. Un producto puede implementar un túnel de paquetes sin distribuir una extensión de sistema en versiones anteriores, y puede distribuir una extensión de sistema que implemente algo distinto de un túnel.

Las extensiones de kernel son el tercer término que la gente mezcla. Eran la forma antigua de ejecutar código de red con privilegios, exigían aprobaciones distintas y Apple lleva años alejando de ellas a los desarrolladores. Aplicar una receta de aprobación de extensión de kernel a un cliente moderno hace perder tiempo en un diálogo que nunca aparecerá.

Lea las notas de despliegue del proveedor para la versión de macOS que ejecuta en lugar de una publicación de foro de una versión anterior. La arquitectura cambió más de una vez, y las instrucciones envejecen mal. Una nota que menciona la aprobación de extensión de kernel describe otra época del producto.

Qué ofrece Network Extension

El marco ofrece tipos de proveedor para las tareas de red habituales: un túnel de paquetes para el tráfico VPN, un proxy de aplicaciones para flujos por aplicación, un filtro de contenido para inspeccionar el tráfico y la gestión de proxy DNS para el comportamiento del solucionador. El tipo de proveedor determina qué puede hacer la extensión, y un cliente que distribuye dos proveedores puede estar haciendo dos trabajos distintos.

Eso importa durante el diagnóstico porque el mismo síntoma de conectividad puede venir de un túnel, un filtro o un proxy DNS. Bloquear un sitio web es una decisión de filtro, no alcanzar una subred privada suele ser una decisión de túnel y resolver la dirección equivocada suele ser una decisión de solucionador. Nombrar el tipo de proveedor estrecha la búsqueda antes de leer cualquier registro.

Nada en el marco implica una postura de privacidad. Una extensión en el espacio de usuario sigue teniendo permisos, configuración y un operador detrás, así que trate la arquitectura como un detalle de implementación y no como una señal de confianza. Pregunte quién opera el extremo y qué está configurado para recoger.

Qué cambia System Extensions

El mecanismo mueve el código privilegiado fuera del kernel y hacia el espacio de usuario, y cambia cómo el sistema operativo pide consentimiento. La activación es un paso separado de la instalación, y el usuario o un perfil MDM debe permitirla. Un cliente que se instala pero nunca se activa parece presente en la carpeta Applications y no hace nada por la conectividad.

El estado lo registra el sistema y no la aplicación, lo cual es útil porque se puede consultar. El comando siguiente lista las extensiones que el sistema conoce y su estado de activación.

systemextensionsctl list
scutil --nc list

El primer comando responde si el componente está instalado y activado. El segundo lista las configuraciones VPN que el sistema tiene, que es una pregunta distinta y a menudo la que importa cuando falta un perfil de conexión en lugar de estar roto.

Cuál inspeccionar para un síntoma dado

Empareje el síntoma con la capa antes de abrir un panel de ajustes. Una configuración ausente es una cuestión de perfil, un componente instalado pero inactivo es una cuestión de entrega y un componente activo que no deja pasar tráfico es una cuestión de capacidad.

El flujo de registro es la evidencia compartida de las dos últimas filas. Leer el subsistema de extensión de red dice qué proveedor manejó el flujo, y una decisión de filtro se ve distinta de un fallo de túnel incluso cuando el usuario describe ambos como la VPN rota.

log show --last 10m --predicate 'process == "nesessionmanager"'

No concluya que una extensión está activa porque hay un icono en la barra de menús. Los iconos sobreviven a activaciones fallidas, y un icono obsoleto es una de las razones más comunes por las que una llamada de soporte empieza en el lugar equivocado. Lea más bien el estado de activación, porque es lo que registra el sistema.

Aprobación, MDM y el mito de la extensión de kernel

En Mac gestionados el paso de aprobación pertenece al perfil MDM, y un usuario que haga clic en Allow en System Settings puede seguir bloqueado por una política que no se ha actualizado. Pregunte al equipo de escritorio qué mecanismo aprueba la extensión para ese parque antes de pedir al usuario que haga clic en algo.

En un Mac no gestionado, el aviso de aprobación aparece una vez y un rechazo puede ser permanente hasta que se reinstale la extensión. Ese comportamiento explica la máquina donde el cliente funcionaba antes de una actualización del sistema y ahora informa de una conexión que nunca se establece.

Anote el tipo de proveedor, el estado de activación y el mecanismo de aprobación del cliente que despliega. Esos tres hechos responden a la mayoría de las preguntas futuras sobre una VPN de Mac sin reabrir el debate entre capacidad y entrega.