האם הרחבת ה-VPN ב-Mac שלך מופעלת? שלושה מקומות לבדוק
מופעל, מותקן ומחובר הם מצבים שונים ב-macOS. השוו את רשימת ההרחבות, פלט ה-CLI והסטטוס של הלקוח עצמו לפני התקנה מחדש.
שורת התפריטים מדווחת על חיבור בעוד רשימת ההרחבות עדיין מסמנת את הרכיב כלא מופעל. שתי הקריאות מגיעות מאותו Mac, ואף אחת מהן לא משקרת: הן מתארות עובדות שונות. macOS שומר לפחות שלושה מצבים נפרדים עבור לקוח VPN, וחוטי תמיכה מאחדים אותם לביטוי אחד, ולכן העצה נעה בין התקנה מחדש לבין תצורה מחדש. ידיעה איזה מצב בעצם חסר לך הופכת אחר צהריים של ניחושים לבדיקה של שתי דקות.
למצבים האלה יש בעלים שונים וגם מקומות שונים. אחד שייך לרישום ההרחבות של מערכת ההפעלה, אחד למדיניות שהמכשיר מציית לה, ואחד לסשן של הלקוח עצמו. מכיוון שהבעלים שונים, תיקון שמוחל על אחד מהם משנה לעיתים רחוקות את השניים האחרים.
שלושה מצבים שנקראים בשם אחד
| State | Where it lives | What it does not prove |
|---|---|---|
| installed and activated | the system extension registry | that any tunnel exists |
| permitted by policy | a configuration profile or a one-time user approval | that the vendor's profile is configured |
| connected | the client's own session state | that traffic takes the intended route |
הסדר שבו אתם קוראים אותם חשוב יותר מהרשימה עצמה: התחילו ברישום, כי רכיב שמעולם לא הופעל לא יכול להיות מחובר, אחר כך קראו את המדיניות, שקובעת אם הפעלה אפשרית בכלל, ואחר כך קראו את הלקוח, שהוא היחיד מבין השלושה שמתאר סשן. אי-התאמה גבוה בסדר הזה מסבירה כל תסמין שמתחתיו, ואי-התאמה נמוך משאירה את השניים שמעליו שלמים.
דוגמה מוחשית להבחנה: רשומת רישום שנקראת כמופעלת יחד עם לקוח שלא מצליח להתחבר מצביעה על הפרופיל או על השרת, לא על ההרחבה. השילוב ההפוך, לקוח מופעל לצד רישום שלא מציג דבר, בדרך כלל אומר שהאפליקציה שאתם מסתכלים עליה אינה זו שנושאת את התעבורה. רשמו איזה שילוב ראיתם לפני שאתם נוגעים במשהו.
לאתר את ההרחבה בלי להאמין לסמל
גרסאות נוכחיות מציגות הרחבות רשת תחת הגדרות מערכת, כללי, פריטי התחברות והרחבות. מצאו את הרשומה הקרויה על שם המוצר או המפרסם שלו וקראו את המתג שלידה ולא את הסמל בשורת התפריטים. תוויות ומיקומים זזו בין גרסאות macOS, ולכן פעלו לפי ההוראות של הספק עבור הגרסה שלכם ולא לפי צילום מסך ממאמר ישן. רשומה שנעדרת לגמרי פירושה שהרכיב מעולם לא הותקן, ועריכת פרופיל לא תמציא אותו.
systemextensionsctl list
log show --last 10m --predicate 'subsystem == "com.apple.networkextension"' --style compactהפקודה הראשונה היא הדרך המהירה ביותר לראות מה מותקן והאם כל הרחבה מדווחת כמופעלת. השנייה מראה מדוע הפעלה נדחית, כי הדחייה מגיעה בדרך כלל כתלונת מדיניות או חתימה שלעולם לא מגיעה לממשק המשתמש. קראו את טקסט הדחייה לפני שאתם משנים משהו: שורת הלוג מציינת את הרכיב ולעיתים קרובות את הסיבה, וזה בדיוק מה שקריאת תמיכה צריכה. העתיקו את השורה כולה ולא את הביטוי שלדעתכם חשוב, שכן הגרסה והמזהה נמצאים בשני קצוותיה.
מה הלקוח מודה בו והרשימה לא
כשההרחבה מאומתת, שאלו את הלקוח אם יש לו פרופיל וסשן, כי פרופיל שמור בלי חיבור הוא בעיית תצורה ואילו חיבור שלא נושא תעבורה הוא בעיית ניתוב או מדיניות. התייחסות לשלושתם כאחד מחזירה אתכם להתקנה מחדש של רכיב שעבד כל הזמן.
scutil --nc list
scutil --nc status "Work VPN"הרשימה מציגה שירותים מוגדרים ומצב החיבור שלהם; קריאת הסטטוס מציגה את המצב של שירות אחד בשם ואת השגיאה האחרונה שלו. תעדו את הטקסט הזה ואת גרסת macOS לפני התקנה מחדש, כי ההתקנה מחדש משמידה את הראיות ולעיתים קרובות משחזרת את אותה תקלה.
כשהמדיניות היא הבעלים של המתג
ב-Mac מנוהל פרופיל תצורה יכול להחזיק את ההרחבה במצב קבוע, והמתג אז מאפיר לפי התכנון. מתג לא זמין הוא הצהרת מדיניות ולא תקלה שיש לעקוף. מחיקת הפרופיל או הרישום לניהול כדי להגיע אליו משנה את מצב האבטחה של המכשיר, מוחזרת בביקורת הבאה, ומשאירה מכונה שמדווחת על עצמה כעומדת בדרישות בזמן שהבקרות שהפכו אותה לעומדת בדרישות חסרות. התוצאה הזו גרועה מהבעיה המקורית, כי היא מסתירה גם את הסיבה וגם את התסמין.
הביאו את הבקשה למנהל עם מזהה ההרחבה, טקסט הדחייה המדויק והגרסה. פריסה מנוהלת יכולה בדרך כלל לאשר הרחבת רשת באופן מרכזי תוך דקות, וזה מהיר יותר מעקיפה וגם ניתן לביקורת בדיעבד.
להוכיח את התיקון באפליקציה אמיתית
אחרי כל תיקון נתמך, התחברו מחדש ובדקו את האפליקציה שלשמה ה-VPN קיים ולא את התג בשורת התפריטים. אחר כך ודאו שתעבורה שאמורה להישאר מחוץ למנהרה עדיין נשארת בחוץ, כי תיקון שמנתב בשקט את הכול הוא שינוי שונה מזה שהתכוונתם לו. בדיקה של שתי דקות באפליקציה האמיתית שווה יותר מתג שאינכם מצליחים לשחזר.
אזהרה אחת בזמן שאתם ברשימה הזו: גם מסנן תוכן הוא הרחבת רשת. כשאתר בודד נכשל, השבתת כל הרחבה בפאנל היא מהלך גס ששובר סינון לא קשור עבור אפליקציות אחרות, והופכת את האבחון הבא לקשה יותר בכך שהוא מסיר את הרכיבים שהייתם משווים. זהו את ההרחבה לפי מפרסם ותפקיד לפני שאתם נוגעים בה, ורשמו איזה משלושת המצבים היה בעצם שגוי.