¿Está activada la extensión VPN de tu Mac? Tres lugares donde mirar

La barra de menús indica conectado mientras la lista de extensiones sigue marcando el componente como no activado. Ambas lecturas vienen del mismo Mac y ninguna miente: describen hechos distintos. macOS mantiene al menos tres estados separados para un cliente VPN, y los hilos de soporte los funden en una sola frase, por eso el consejo oscila entre reinstalar y reconfigurar. Saber qué estado te falta de verdad convierte una tarde de conjeturas en una comprobación de dos minutos.

Esos estados tienen propietarios distintos además de ubicaciones distintas. Uno pertenece al registro de extensiones del sistema operativo, otro a la política que obedece el dispositivo y otro a la sesión propia del cliente. Como los propietarios difieren, una corrección aplicada a uno de ellos rara vez cambia los otros dos.

Tres estados a los que se llama una sola cosa

El orden en que los lees importa más que la lista en sí: empieza por el registro, porque un componente que nunca se activó no puede estar conectado; luego lee la política, que decide si la activación es posible siquiera; y después lee el cliente, el único de los tres que describe una sesión. Un desajuste arriba en ese orden explica cada síntoma por debajo, y un desajuste abajo deja intactos los dos de arriba.

Un ejemplo concreto de la distinción: una entrada del registro que se lee como activada más un cliente que no puede conectarse apuntan al perfil o al servidor, no a la extensión. La combinación inversa, un cliente activado junto a un registro que no muestra nada, suele significar que la aplicación que miras no es la que transporta el tráfico. Anota qué combinación observaste antes de tocar nada.

Localizar la extensión sin confiar en el icono

Las versiones actuales listan las extensiones de red en Ajustes del Sistema, General, Ítems de inicio y Extensiones. Busca la entrada con el nombre del producto o de su editor y lee el interruptor que está al lado en lugar del glifo de la barra de menús. Las etiquetas y las posiciones se han movido entre versiones de macOS, así que sigue las instrucciones del proveedor para tu versión en vez de una captura de un artículo antiguo. Una entrada que falta por completo significa que el componente nunca se instaló, y editar el perfil no lo hará aparecer.

systemextensionsctl list
log show --last 10m --predicate 'subsystem == "com.apple.networkextension"' --style compact

El primer comando es la forma más rápida de ver qué hay instalado y si cada extensión se declara activada. El segundo muestra por qué se rechaza una activación, porque el rechazo suele llegar como una queja de política o de firma que nunca alcanza la interfaz de usuario. Lee el texto del rechazo antes de cambiar nada: la línea del registro nombra el componente y a menudo el motivo, que es justo lo que necesita un caso de soporte. Copia la línea entera y no la frase que crees importante, ya que la versión y el identificador están en sus dos extremos opuestos.

Lo que el cliente admite y la lista no

Con la extensión confirmada, pregunta al cliente si tiene un perfil y una sesión, porque un perfil guardado sin conexión es un problema de configuración, mientras que una conexión que no transporta tráfico es un problema de enrutamiento o de política. Tratar los tres como uno te devuelve a reinstalar un componente que funcionaba todo el tiempo.

scutil --nc list
scutil --nc status "Work VPN"

La lista muestra los servicios configurados y su estado de conexión; la llamada de estado muestra el estado de un servicio concreto y su último error. Guarda ese texto y la versión de macOS antes de reinstalar, porque la reinstalación destruye la evidencia y con frecuencia reproduce el mismo fallo.

Cuando la política es dueña del interruptor

En un Mac gestionado un perfil de configuración puede mantener la extensión en un estado fijo, y entonces el interruptor se atenúa por diseño. Un interruptor no disponible es una declaración de política, no un fallo que haya que sortear. Borrar el perfil o la inscripción de gestión para llegar a él cambia la postura de seguridad del dispositivo, se revierte en la siguiente comprobación y deja una máquina que se declara conforme mientras le faltan los controles que la hacían conforme. Ese resultado es peor que el problema original, porque oculta la causa además del síntoma.

Lleva la solicitud al administrador con el identificador de la extensión, el texto exacto del rechazo y la versión. Un despliegue gestionado suele poder aprobar una extensión de red de forma central en minutos, lo que es más rápido que el rodeo y además auditable después.

Demostrar la corrección en una aplicación real

Tras cualquier corrección admitida, vuelve a conectarte y prueba la aplicación para la que existe la VPN, no la insignia de la barra de menús. Luego confirma que el tráfico que debe quedarse fuera del túnel sigue fuera, porque una corrección que enruta todo en silencio es un cambio distinto del que pretendías. Una prueba de dos minutos en la aplicación real vale más que una insignia que no puedes reproducir.

Un aviso mientras estás en esa lista: un filtro de contenido también es una extensión de red. Cuando falla un solo sitio, desactivar todas las extensiones del panel es un movimiento contundente que rompe el filtrado no relacionado de otras aplicaciones y dificulta el siguiente diagnóstico al eliminar los componentes que habrías comparado. Identifica la extensión por editor y función antes de tocarla, y anota cuál de los tres estados era realmente incorrecto.