L'estensione VPN del tuo Mac è abilitata? Tre punti da controllare

La barra dei menu segnala connesso mentre l'elenco delle estensioni continua a contrassegnare il componente come non attivato. Entrambe le letture provengono dallo stesso Mac e nessuna delle due mente: descrivono fatti diversi. macOS conserva almeno tre stati separati per un client VPN, e le discussioni di supporto li riducono a un'unica frase, ed è per questo che il consiglio oscilla tra reinstallare e riconfigurare. Sapere quale stato manca davvero trasforma un pomeriggio di supposizioni in un controllo di due minuti.

Questi stati hanno proprietari diversi oltre che luoghi diversi. Uno appartiene al registro delle estensioni del sistema operativo, uno alla politica a cui il dispositivo obbedisce e uno alla sessione del client stesso. Poiché i proprietari sono diversi, una correzione applicata a uno di essi raramente cambia gli altri due.

Tre stati che vengono chiamati con un solo nome

L'ordine in cui li leggi conta più dell'elenco stesso: inizia dal registro, perché un componente che non è mai stato attivato non può essere connesso, poi leggi la politica, che decide se l'attivazione è possibile, e infine leggi il client, che è l'unico dei tre a descrivere una sessione. Una discrepanza in alto in quell'ordine spiega ogni sintomo sottostante, mentre una discrepanza in basso lascia intatti i due sopra.

Un esempio concreto della distinzione: una voce di registro che risulta attivata insieme a un client che non riesce a connettersi indica il profilo o il server, non l'estensione. La combinazione inversa, un client attivato accanto a un registro che non mostra nulla, di solito significa che l'app che stai guardando non è quella che trasporta il traffico. Annota quale combinazione hai osservato prima di toccare qualsiasi cosa.

Trovare l'estensione senza fidarsi dell'icona

Le versioni attuali elencano le estensioni di rete in Impostazioni di Sistema, Generali, Elementi login ed Estensioni. Trova la voce intitolata al prodotto o al suo editore e leggi l'interruttore accanto invece del glifo nella barra dei menu. Etichette e posizioni sono cambiate tra le versioni di macOS, quindi segui le istruzioni del fornitore per la tua versione invece di uno screenshot di un articolo vecchio. Una voce del tutto assente significa che il componente non è mai stato installato, e modificare il profilo non lo farà comparire.

systemextensionsctl list
log show --last 10m --predicate 'subsystem == "com.apple.networkextension"' --style compact

Il primo comando è il modo più rapido per vedere cosa è installato e se ogni estensione si dichiara attivata. Il secondo mostra perché un'attivazione viene rifiutata, perché il rifiuto di solito arriva come una lamentela di politica o di firma che non raggiunge mai l'interfaccia utente. Leggi il testo del rifiuto prima di cambiare qualcosa: la riga di log nomina il componente e spesso il motivo, che è esattamente ciò di cui ha bisogno un caso di supporto. Copia l'intera riga invece della frase che ritieni importante, dato che la versione e l'identificatore stanno alle estremità opposte.

Quello che il client ammette e l'elenco no

Con l'estensione confermata, chiedi al client se ha un profilo e una sessione, perché un profilo salvato senza connessione è un problema di configurazione mentre una connessione che non trasporta traffico è un problema di routing o di politica. Trattare tutti e tre come uno solo ti riporta a reinstallare un componente che funzionava per tutto il tempo.

scutil --nc list
scutil --nc status "Work VPN"

L'elenco mostra i servizi configurati e il loro stato di connessione; la chiamata di stato mostra lo stato di un servizio denominato e il suo ultimo errore. Registra quel testo e la versione di macOS prima di reinstallare, perché la reinstallazione distrugge la prova e spesso riproduce lo stesso guasto.

Quando la politica possiede l'interruttore

Su un Mac gestito un profilo di configurazione può mantenere l'estensione in uno stato fisso, e l'interruttore diventa quindi grigio per progetto. Un interruttore non disponibile è una dichiarazione di politica e non un bug da aggirare. Eliminare il profilo o l'iscrizione alla gestione per raggiungerlo cambia la postura di sicurezza del dispositivo, viene ripristinato al check-in successivo e lascia una macchina che si dichiara conforme mentre mancano i controlli che la rendevano conforme. Quell'esito è peggiore del problema originale, perché nasconde la causa oltre al sintomo.

Porta la richiesta all'amministratore con l'identificatore dell'estensione, il testo esatto del rifiuto e la versione. Una distribuzione gestita di solito può approvare un'estensione di rete centralmente in pochi minuti, il che è più rapido della soluzione alternativa e verificabile in seguito.

Dimostrare la correzione su un'applicazione reale

Dopo qualsiasi correzione supportata, riconnettiti e prova l'applicazione per cui esiste la VPN invece del badge nella barra dei menu. Poi conferma che il traffico che deve restare fuori dal tunnel resti davvero fuori, perché una correzione che instrada tutto in silenzio è un cambiamento diverso da quello che intendevi. Un test di due minuti sull'applicazione reale vale più di un badge che non riesci a riprodurre.

Un avvertimento mentre sei in quell'elenco: anche un filtro di contenuti è un'estensione di rete. Quando un singolo sito non funziona, disattivare ogni estensione nel pannello è una mossa brusca che rompe il filtraggio non correlato di altre applicazioni, e rende la diagnosi successiva più difficile rimuovendo i componenti che avresti confrontato. Identifica l'estensione per editore e ruolo prima di toccarla, e annota quale dei tre stati fosse davvero sbagliato.