Mac VPN клиенті: Network Extension және System Extension

Apple-дың екі термині бір нәрсені атайтындай қолданылады, және бұл шатасу адамдарды дұрыс емес параметрлер панеліне жібереді. Network Extension мүмкіндікті сипаттайды: VPN туннельдерін, проксилер мен сүзгілерді іске асырудың қолдау көрсетілген тәсілі. System Extensions пайдаланушы кеңістігіндегі кеңейтулердің жеткізу және рұқсат механизмін сипаттайды. Қазіргі Mac VPN клиенті әдетте екеуін де қажет етеді, сондықтан бір ғана белгі симптомды жалғыз түсіндіре алмайды. Екеуін ажырату қай құрамдасты тексеру керектігін және қандай рұқсат қадамын күту керектігін жауаптайды.

Екі сұрақ, бір белгі емес

Құрамдас қалай орнатылатынын сұрамас бұрын оның не істейтінін сұраңыз. Мүмкіндік қай провайдер класы бар екенін және сондықтан қай код пакеттеріңізді өңдейтінін анықтайды. Жеткізу механизмі бинарлық файлдың қалай келетінін, қалай мақұлданатынын және күйі қайда жазылатынын анықтайды. Өнім ескі шығарылымдарда жүйелік кеңейтуді жеткізбей-ақ пакеттік туннельді іске асыра алады, және туннельден басқа нәрсені іске асыратын жүйелік кеңейтуді де жеткізе алады.

Ядро кеңейтулері — адамдар араластыратын үшінші термин. Олар артықшылықты желілік кодты іске қосудың ескі әдісі еді, басқа рұқсаттарды талап етті, және Apple жылдар бойы әзірлеушілерді олардан алыстатып келеді. Ядро кеңейтуінің рұқсат рецептін қазіргі клиентке қолдану ешқашан көрінбейтін диалогқа уақыт жоғалтады.

Сіз іске қосатын macOS нұсқасы үшін жеткізушінің орналастыру жазбаларын оқыңыз бұрынғы шығарылымның форум жазбасының орнына. Сәулет бірнеше рет өзгерді, және нұсқаулықтар тез ескіреді. Ядро кеңейтуінің рұқсатын атайтын жазба өнімнің басқа дәуірін сипаттайды.

Network Extension не ұсынады

Фреймворк әдеттегі желілік тапсырмалар үшін провайдер түрлерін ұсынады: VPN трафигі үшін пакеттік туннель, қолданба бойынша ағындар үшін қолданба проксиі, трафикті тексеру үшін мазмұн сүзгісі және шешуші мінез-құлқы үшін DNS проксиін өңдеу. Провайдер түрі кеңейтудің не істей алатынын анықтайды, және екі провайдер жеткізетін клиент екі түрлі жұмыс істеп жатқан болуы мүмкін.

Бұл диагностика кезінде маңызды, өйткені бірдей қосылым симптомы туннельден, сүзгіден немесе DNS проксиінен келуі мүмкін. Сайтты бұғаттау — сүзгі шешімі, жеке ішкі желіге жетпеу әдетте туннель шешімі, ал дұрыс емес мекенжайды шешу әдетте шешуші шешімі. Провайдер түрін атау кез келген журналды оқымас бұрын іздеуді тарылтады.

Фреймворкте ештеңе құпиялылық ұстанымын білдірмейді. Пайдаланушы кеңістігіндегі кеңейтудің әлі де рұқсаттары, конфигурациясы және артында операторы бар, сондықтан сәулетті сенім сигналы ретінде емес, іске асыру бөлшегі ретінде қарастырыңыз. Соңғы нүктені кім басқаратынын және ол нені жинауға конфигурацияланғанын сұраңыз.

System Extensions нені өзгертеді

Механизм артықшылықты кодты ядродан пайдаланушы кеңістігіне жылжытады және операциялық жүйенің келісімді қалай сұрайтынын өзгертеді. Іске қосу орнатудан бөлек қадам, және пайдаланушы немесе MDM профилі оған рұқсат беруі керек. Орнатылатын, бірақ ешқашан іске қосылмайтын клиент Applications қалтасында бар болып көрінеді және қосылым үшін ештеңе істемейді.

Күйді қолданба емес, жүйе жазады, бұл пайдалы, өйткені оны сұрауға болады. Төмендегі пәрмен жүйе білетін кеңейтулерді және олардың іске қосылу күйін тізімдейді.

systemextensionsctl list
scutil --nc list

Бірінші пәрмен құрамдас орнатылған және іске қосылған ба дегенге жауап береді. Екіншісі жүйе ұстайтын VPN конфигурацияларын тізімдейді, бұл басқа сұрақ және қосылым профилі бұзылған емес, жоқ болғанда жиі маңызды болатын сұрақ.

Берілген симптом үшін нені тексеру керек

Параметрлер панелін ашпас бұрын симптомды қабатқа сәйкестендіріңіз. Жоқ конфигурация — профиль сұрағы, орнатылған бірақ белсенді емес құрамдас — жеткізу сұрағы, ал трафикті өткізе алмайтын белсенді құрамдас — мүмкіндік сұрағы.

Журнал ағыны соңғы екі жол үшін ортақ дәлел. Желілік кеңейту ішкі жүйесін оқу қай провайдер ағынды өңдегенін айтады, және сүзгі шешімі туннель ақауынан өзгеше көрінеді, тіпті пайдаланушы екеуін де бұзылған VPN деп сипаттаса да.

log show --last 10m --predicate 'process == "nesessionmanager"'

Мәзір жолағында белгіше бар деп кеңейту белсенді деп қорытынды жасамаңыз. Белгішелер сәтсіз іске қосулардан кейін де қалады, және ескірген белгіше қолдау қоңырауының дұрыс емес жерден басталуының ең жиі себептерінің бірі. Оның орнына іске қосу күйін оқыңыз, өйткені жүйе дәл соны жазады.

Рұқсат, MDM және ядро кеңейтуінің аңызы

Басқарылатын Mac компьютерлерде рұқсат қадамы MDM профиліне тиесілі, және System Settings-те Allow түймесін басқан пайдаланушы жаңартылмаған саясатпен әлі де бұғатталуы мүмкін. Пайдаланушыдан бірдеңені басуын сұрамас бұрын жұмыс үстелі тобынан сол флот үшін кеңейтуді қандай механизм мақұлдайтынын сұраңыз.

Басқарылмайтын Mac жүйесінде рұқсат сұрауы бір рет шығады, және бас тарту кеңейту қайта орнатылғанша тұрақты болуы мүмкін. Бұл мінез-құлық клиент ОЖ жаңартуына дейін жұмыс істеген және қазір ешқашан орнатылмайтын қосылым туралы хабарлайтын машинаны түсіндіреді.

Орналастыратын клиент үшін провайдер түрін, іске қосу күйін және рұқсат механизмін жазып алыңыз. Осы үш факт мүмкіндік пен жеткізу туралы дауды қайта ашпай-ақ Mac VPN туралы болашақ сұрақтардың көбісіне жауап береді.