Mac-VPN-Client: Network Extension géint System Extension

Zwou Apple-Begrëffer ginn esou benotzt, wéi wa se déiselwecht Saach nennen, an déi Verwiirung schéckt Leit an de falsche Parameter-Panel. Network Extension beschreift eng Fäegkeet: eng ënnerstëtzt Manéier fir VPN-Tunnelen, Proxien a Filter ëmzesetzen. System Extensions beschreift e Liwwer- a Genehmigungsmechanismus fir Erweiderungen am Benotzerraum. En moderne Mac VPN-Client brauch normalerweis béides, dofir erkläert keng vun den zwou Etiketten eleng e Symptom. D'Trennung vun deenen zwou beäntwert, wéi eng Komponent ze kontrolléieren an wéi e Genehmigungsschrätt ze erwaarden.

Zwou Froen, net eng Etikett

Frot, wat d'Komponent mécht, ier Dir frot, wéi se installéiert gëtt. D'Fäegkeet entscheet, wéi eng Providerklass existéiert an domat, wéi e Code Är Paketen handelt. De Liwwermechanismus entscheet, wéi de Binär ukommt, wéi en genehmegt gëtt a wou säi Status festgehale gëtt. E Produkt kann en Pakettunnel ëmsetzen ouni eng Systemerweiderung op eelere Versiounen ze liwweren, an et kann eng Systemerweiderung liwweren, déi eppes anescht wéi en Tunnel ëmsetzt.

Kernel-Erweiderungen sinn den drëtte Begrëff, deen d'Leit vermëschen. Si waren dee méi ale Wee fir privilegiéierten Netzwierkcode auszeféieren, si hu verschidde Genehmigungen gefrot, an Apple hält Entwéckler zënter Joren dovun ewech. E Genehmigungsrezept fir Kernel-Erweiderungen op en moderne Client unzewenden verléiert Zäit un engem Dialog, deen ni erschéngt.

Liest d'Asaznotize vum Fournisseur fir déi macOS-Versioun, déi Dir bedreift amplaz eng Forumpost aus enger fréierer Versioun. D'Architektur huet sech méi wéi eng Kéier geännert, an d'Instruktiounen altern schlecht. Eng Notiz, déi d'Genehmigung vu Kernel-Erweiderungen ernimmt, beschreift eng aner Ära vum Produkt.

Wat Network Extension ubitt

De Framework bitt Provider-Typen fir déi üblech Netzwierkaarbechten: en Pakettunnel fir VPN-Traffic, en App-Proxy fir Stréim pro Applikatioun, e Contenu-Filter fir den Traffic ze kontrolléieren an DNS-Proxy-Handhabung fir d'Verhalen vum Resolver. De Provider-Typ entscheet, wat d'Erweiderung ka maachen, an e Client, deen zwee Provideren ubitt, kann zwou verschidde Aufgaben maachen.

Dat zielt während der Diagnos, well deeselwechte Konnektivitéitssymptom vun engem Tunnel, engem Filter oder engem DNS-Proxy komme kann. Eng Websäit blockéieren ass eng Filterentscheedung, e privat Subnetz net erreechen ass meeschtens eng Tunnelentscheedung, an déi falsch Adress opléisen ass meeschtens eng Resolverentscheedung. De Provider-Typ ze nennen enkelt d'Sich, ier iergendeen Log gelies gëtt.

Näischt um Framework implizéiert eng Dateschutzpositioun. Eng Erweiderung am Benotzerraum huet nach ëmmer Berechtegungen, Konfiguratioun an een Bedreiwer hannert sech, also behandelt d'Architektur als Ëmsetzungsdetail an net als Vertrauenssignal. Frot, wien den Endpunkt bedreift a wat en ageriicht ass ze sammelen.

Wat System Extensions ännert

De Mechanismus verréckelt privilegiéierte Code aus dem Kernel an de Benotzerraum, an en ännert, wéi de Betribssystem d'Zoustëmmung freet. D'Aktivéierung ass en getrennte Schrëtt vun der Installatioun, an de Benotzer oder en MDM-Profil muss se erlaaben. E Client, deen installéiert awer ni aktivéiert gesäit am Ordner Applications präsent aus an mécht näischt fir d'Konnektivitéit.

De Status gëtt vum System festgehalen an net vun der App, wat nëtzlech ass well een en ofroe kann. De Befehl hei drënner zielt d'Erweiderungen op, déi de System kennt, an hiren Aktivéierungsstatus.

systemextensionsctl list
scutil --nc list

Den éischte Befehl äntwert, ob d'Komponent installéiert an aktivéiert ass. Den zweeten zielt d'VPN-Konfiguratiounen op, déi de System huet, wat eng aner Fro ass a meeschtens déi, déi zielt wann e Verbindungsprofil feelt an net futti ass.

Wéi eng fir e bestëmmte Symptom ze kontrolléieren

Passt de Symptom un d'Schicht un, ier Dir e Parameter-Panel opmaacht. Eng feelend Konfiguratioun ass eng Profilfro, eng installéiert awer inaktiv Komponent ass eng Liwwerfro, an eng aktiv Komponent déi keen Traffic duerchléisst ass eng Fäegkeetsfro.

De Logstroum ass de gemeinsamen Noweis fir déi lescht zwou Zeilen. D'Liesen vum Netzwierkerweiderungs-Subsystem seet, wéi e Provider de Stroum gehandhabt huet, an eng Filterentscheedung gesäit anescht aus wéi e Tunnelfeeler och wann de Benotzer béides als futti VPN beschreift.

log show --last 10m --predicate 'process == "nesessionmanager"'

Schléisst net, datt eng Erweiderung aktiv ass well en Ikon an der Menübar ass. Ikonen iwwerliewe feelgeschloen Aktivéierungen, an en veralterten Ikon ass ee vun deene heefegste Grënn, firwat en Support-Uruff um falsche Plaz ufänkt. Liest amplaz den Aktivéierungsstatus, well de System deen festhält.

Genehmigung, MDM an de Mythos vun der Kernel-Erweiderung

Op geréierten Macs gehéiert de Genehmigungsschrëtt zum MDM-Profil, an e Benotzer deen an System Settings op Allow klickt ka nach ëmmer duerch eng Richtlinn blockéiert ginn, déi net aktualiséiert gouf. Frot den Desktop-Team, wéi ee Mechanismus d'Erweiderung fir déi Flott genehmegt, ier Dir de Benotzer freet eppes ze klicken.

Op engem net geréierten Mac erschéngt d'Genehmigungsfro eng Kéier an eng Oflehnung ka permanent sinn bis d'Erweiderung nei installéiert gëtt. Dat Verhalen erkläert d'Maschinn, op där de Client virun engem OS-Upgrade funktionéiert huet an elo eng Verbindung mellt, déi ni zoustand kënnt.

Schreift de Provider-Typ, den Aktivéierungsstatus an de Genehmigungsmechanismus fir de Client op, deen Dir asetzt. Déi dräi Fakten beäntwerten déi meescht zukünfteg Froen iwwer eng Mac VPN ouni d'Debatt Fäegkeet géint Liwwerung erëm opzemaachen.