Mac VPN klients: Network Extension pret System Extension

Divi Apple termini tiek lietoti tā, it kā apzīmētu vienu un to pašu, un šis apjukums sūta cilvēkus uz nepareizo iestatījumu paneli. Network Extension raksturo iespēju: atbalstītu veidu, kā ieviest VPN tuneļus, starpniekserverus un filtrus. System Extensions raksturo lietotāja telpas paplašinājumu piegādes un apstiprināšanas mehānismu. Mūsdienīgam Mac VPN klientam parasti vajag abus, tāpēc neviena etiķete viena pati neizskaidro simptomu. Abu atdalīšana atbild, kuru komponentu pārbaudīt un kādu apstiprināšanas soli gaidīt.

Divi jautājumi, nevis viena etiķete

Pajautājiet, ko komponents dara, pirms jautājat, kā tas tiek instalēts. Iespēja nosaka, kura pakalpojumu sniedzēja klase pastāv un tāpēc kurš kods apstrādā jūsu paketes. Piegādes mehānisms nosaka, kā pienāk binārais fails, kā tas tiek apstiprināts un kur tiek reģistrēts tā stāvoklis. Produkts var ieviest pakešu tuneli, nepiegādājot sistēmas paplašinājumu vecākās versijās, un tas var piegādāt sistēmas paplašinājumu, kas ievieš ko citu, nevis tuneli.

Kodola paplašinājumi ir trešais termins, ko cilvēki sajauc. Tie bija vecākais veids, kā izpildīt priviliģētu tīkla kodu, tiem vajadzēja citus apstiprinājumus, un Apple jau gadiem virza izstrādātājus prom no tiem. Kodola paplašinājuma apstiprināšanas receptes piemērošana mūsdienīgam klientam tērē laiku dialogam, kas nekad neparādīsies.

Lasiet piegādātāja izvietošanas piezīmes par jūsu izmantoto macOS versiju agrākas versijas foruma ieraksta vietā. Arhitektūra mainījās vairāk nekā vienu reizi, un instrukcijas ātri noveco. Piezīme, kas piemin kodola paplašinājuma apstiprināšanu, raksturo citu produkta laikmetu.

Ko nodrošina Network Extension

Ietvars nodrošina pakalpojumu sniedzēja tipus ierastajiem tīkla uzdevumiem: pakešu tuneli VPN trafikam, lietotnes starpniekserveri plūsmām pa lietotnēm, satura filtru trafika pārbaudei un DNS starpniekservera apstrādi atrisinātāja uzvedībai. Pakalpojumu sniedzēja tips nosaka, ko paplašinājums var darīt, un klients, kas piegādā divus pakalpojumu sniedzējus, var veikt divus dažādus darbus.

Tas ir svarīgi diagnostikā, jo viens un tas pats savienojuma simptoms var nākt no tuneļa, filtra vai DNS starpniekservera. Vietnes bloķēšana ir filtra lēmums, nespēja sasniegt privātu apakštīklu parasti ir tuneļa lēmums, un nepareizas adreses atrisināšana parasti ir atrisinātāja lēmums. Pakalpojumu sniedzēja tipa nosaukšana sašaurina meklēšanu pirms jebkura žurnāla lasīšanas.

Nekas ietvarā nenorāda uz privātuma nostāju. Paplašinājumam lietotāja telpā joprojām ir atļaujas, konfigurācija un operators aiz tā, tāpēc uztveriet arhitektūru kā ieviešanas detaļu, nevis uzticības signālu. Jautājiet, kas pārvalda galapunktu un kam tas ir konfigurēts vākt.

Ko maina System Extensions

Mehānisms pārvieto priviliģēto kodu no kodola uz lietotāja telpu, un tas maina, kā operētājsistēma lūdz piekrišanu. Aktivizēšana ir atsevišķs solis no instalēšanas, un lietotājam vai MDM profilam tas ir jāatļauj. Klients, kas instalējas, bet nekad neaktivizējas izskatās esošs mapē Applications un neko nedara savienojuma labā.

Stāvokli reģistrē sistēma, nevis lietotne, kas ir noderīgi, jo to var vaicāt. Tālāk esošā komanda uzskaita paplašinājumus, ko sistēma zina, un to aktivizēšanas stāvokli.

systemextensionsctl list
scutil --nc list

Pirmā komanda atbild, vai komponents ir instalēts un aktivizēts. Otrā uzskaita VPN konfigurācijas, ko sistēma tur, kas ir cits jautājums un bieži tas, kas svarīgs, kad savienojuma profils trūkst, nevis ir salauzts.

Kuru pārbaudīt konkrētam simptomam

Saskaņojiet simptomu ar slāni pirms iestatījumu paneļa atvēršanas. Trūkstoša konfigurācija ir profila jautājums, instalēts bet neaktīvs komponents ir piegādes jautājums, un aktīvs komponents, kas nespēj laist cauri trafiku, ir iespējas jautājums.

Žurnāla plūsma ir kopīgais pierādījums pēdējām divām rindām. Tīkla paplašinājuma apakšsistēmas lasīšana pasaka, kurš pakalpojumu sniedzējs apstrādāja plūsmu, un filtra lēmums izskatās citādi nekā tuneļa kļūme pat tad, ja lietotājs abus raksturo kā salauztu VPN.

log show --last 10m --predicate 'process == "nesessionmanager"'

Neizdariet secinājumu, ka paplašinājums ir aktīvs tāpēc, ka izvēļu joslā ir ikona. Ikonas pārdzīvo neveiksmīgas aktivizēšanas, un novecojusi ikona ir viens no biežākajiem iemesliem, kāpēc atbalsta zvans sākas nepareizā vietā. Lasiet aktivizēšanas stāvokli, jo to sistēma reģistrē.

Apstiprināšana, MDM un kodola paplašinājuma mīts

Pārvaldītos Mac datoros apstiprināšanas solis pieder MDM profilam, un lietotājs, kas System Settings noklikšķina uz Allow, joprojām var tikt bloķēts ar neatjauninātu politiku. Pajautājiet darbvirsmas komandai, kurš mehānisms apstiprina paplašinājumu šai flotei, pirms lūdzat lietotājam kaut ko noklikšķināt.

Neapkalpotā Mac apstiprināšanas uzvedne parādās vienreiz, un atteikums var būt pastāvīgs, līdz paplašinājums tiek pārinstalēts. Šāda uzvedība izskaidro mašīnu, kurā klients strādāja pirms OS atjauninājuma un tagad ziņo par savienojumu, kas nekad neizveidojas.

Pierakstiet pakalpojumu sniedzēja tipu, aktivizēšanas stāvokli un apstiprināšanas mehānismu izvietotajam klientam. Šie trīs fakti atbild uz lielāko daļu nākotnes jautājumu par Mac VPN, no jauna neatverot iespējas pret piegādi strīdu.