Macin VPN-asiakas: Network Extension vai System Extension

Kahta Applen termiä käytetään ikään kuin ne nimeäisivät saman asian, ja tämä sekaannus ohjaa ihmiset väärään asetuspaneeliin. Network Extension kuvaa kyvykkyyttä: tuettua tapaa toteuttaa VPN-tunneleita, välityspalvelimia ja suodattimia. System Extensions kuvaa käyttäjän tilassa toimivien laajennusten toimitus- ja hyväksyntämekanismia. Nykyaikainen Macin VPN-asiakas tarvitsee yleensä molemmat, minkä vuoksi kumpikaan nimike ei yksin selitä oiretta. Kahden erottaminen vastaa siihen, mitä komponenttia tutkia ja mitä hyväksyntävaihetta odottaa.

Kaksi kysymystä, ei yksi nimike

Kysy, mitä komponentti tekee, ennen kuin kysyt, miten se asennetaan. Kyvykkyys määrää, mikä tarjoajaluokka on olemassa ja siten mikä koodi käsittelee pakettisi. Toimitusmekanismi määrää, miten binääri saapuu, miten se hyväksytään ja mihin sen tila tallennetaan. Tuote voi toteuttaa pakettitunnelin toimittamatta järjestelmälaajennusta vanhemmissa versioissa, ja se voi toimittaa järjestelmälaajennuksen, joka toteuttaa jotain muuta kuin tunnelin.

Ydinlaajennukset ovat kolmas termi, jota ihmiset sekoittavat. Ne olivat vanhempi tapa ajaa etuoikeutettua verkkokoodia, ne vaativat erilaisia hyväksyntöjä, ja Apple on ohjannut kehittäjiä pois niistä jo vuosia. Ydinlaajennuksen hyväksyntäreseptin soveltaminen nykyaikaiseen asiakkaaseen tuhlaa aikaa valintaikkunaan, joka ei koskaan ilmesty.

Lue toimittajan käyttöönotto-ohjeet käyttämällesi macOS-versiolle sen sijaan, että lukisit aiemman version foorumiviestin. Arkkitehtuuri muuttui useammin kuin kerran, ja ohjeet vanhenevat huonosti. Muistiinpano, joka mainitsee ydinlaajennuksen hyväksynnän, kuvaa tuotteen toista aikakautta.

Mitä Network Extension tarjoaa

Kehys tarjoaa tarjoajatyyppejä tavallisiin verkkotehtäviin: pakettitunnelin VPN-liikenteelle, sovellusvälityspalvelimen sovelluskohtaisille virroille, sisältösuodattimen liikenteen tarkasteluun ja DNS-välityspalvelimen käsittelyn selvittäjän käyttäytymiselle. Tarjoajatyyppi määrää, mitä laajennus voi tehdä, ja asiakas, joka toimittaa kaksi tarjoajaa, voi tehdä kahta eri työtä.

Tällä on merkitystä diagnosoinnissa, koska sama yhteysongelma voi tulla tunnelista, suodattimesta tai DNS-välityspalvelimesta. Verkkosivuston estäminen on suodatinpäätös, yksityiseen aliverkkoon pääsemättömyys on yleensä tunnelipäätös ja väärän osoitteen selvittäminen on yleensä selvittäjäpäätös. Tarjoajatyypin nimeäminen kaventaa hakua ennen minkään lokin lukemista.

Mikään kehyksessä ei viittaa tietosuoja-asenteeseen. Käyttäjän tilassa toimivalla laajennuksella on edelleen käyttöoikeudet, kokoonpano ja operaattori taustallaan, joten käsittele arkkitehtuuria toteutuksen yksityiskohtana, älä luottamuksen merkkinä. Kysy, kuka ylläpitää päätepistettä ja mitä se on määritetty keräämään.

Mitä System Extensions muuttaa

Mekanismi siirtää etuoikeutetun koodin ytimestä käyttäjän tilaan ja muuttaa sitä, miten käyttöjärjestelmä pyytää suostumusta. Aktivointi on erillinen vaihe asennuksesta, ja käyttäjän tai MDM-profiilin on sallittava se. Asiakas, joka asentuu mutta ei koskaan aktivoidu näyttää olevan läsnä Applications-kansiossa eikä tee mitään yhteyden hyväksi.

Järjestelmä tallentaa tilan eikä sovellus, mikä on hyödyllistä, koska sitä voi kysyä. Alla oleva komento luettelee laajennukset, jotka järjestelmä tuntee, ja niiden aktivointitilan.

systemextensionsctl list
scutil --nc list

Ensimmäinen komento vastaa, onko komponentti asennettu ja aktivoitu. Toinen luettelee VPN-kokoonpanot, jotka järjestelmä pitää, mikä on eri kysymys ja usein se, jolla on merkitystä, kun yhteysprofiili puuttuu sen sijaan että se olisi rikki.

Mitä tutkia tietyn oireen kohdalla

Sovita oire kerrokseen ennen asetuspaneelin avaamista. Puuttuva kokoonpano on profiilikysymys, asennettu mutta ei-aktiivinen komponentti on toimituskysymys ja aktiivinen komponentti, joka ei päästä liikennettä läpi, on kyvykkyyskysymys.

Lokivirta on kahden viimeisen rivin yhteinen todiste. Verkkolaajennuksen alijärjestelmän lukeminen kertoo, mikä tarjoaja käsitteli virran, ja suodatinpäätös näyttää erilaiselta kuin tunnelivika, vaikka käyttäjä kuvailisi molempia rikkinäisenä VPN:nä.

log show --last 10m --predicate 'process == "nesessionmanager"'

Älä päättele laajennuksen olevan aktiivinen, koska valikkorivillä on kuvake. Kuvakkeet selviävät epäonnistuneista aktivoinneista, ja vanhentunut kuvake on yksi yleisimmistä syistä, miksi tukipuhelu alkaa väärästä paikasta. Lue sen sijaan aktivointitila, koska sen järjestelmä tallentaa.

Hyväksyntä, MDM ja ydinlaajennuksen myytti

Hallituilla Maceilla hyväksyntävaihe kuuluu MDM-profiilille, ja käyttäjä, joka napsauttaa Allow System Settings -asetuksissa, voi silti jäädä päivittämättömän käytännön estämäksi. Kysy työpöytätiimiltä, mikä mekanismi hyväksyy laajennuksen kyseiselle laitekannalle, ennen kuin pyydät käyttäjää napsauttamaan mitään.

Hallitsemattomalla Macilla hyväksyntäkehote ilmestyy kerran, ja hylkääminen voi olla pysyvää, kunnes laajennus asennetaan uudelleen. Tämä käyttäytyminen selittää koneen, jolla asiakas toimi ennen käyttöjärjestelmän päivitystä ja ilmoittaa nyt yhteydestä, joka ei koskaan muodostu.

Kirjoita muistiin tarjoajatyyppi, aktivointitila ja hyväksyntämekanismi asiakkaalle, jonka otat käyttöön. Nämä kolme tosiasiaa vastaavat useimpiin tuleviin Macin VPN:tä koskeviin kysymyksiin avaamatta uudelleen väittelyä kyvykkyydestä toimituksen sijaan.