Is de VPN-extensie op je Mac ingeschakeld? Drie plekken om te kijken

De menubalk meldt verbonden terwijl de extensielijst het onderdeel nog steeds als niet geactiveerd markeert. Beide uitlezingen komen van dezelfde Mac, en geen van beide liegt: ze beschrijven verschillende feiten. macOS houdt minstens drie afzonderlijke toestanden bij voor een VPN-client, en supportthreads voegen ze samen tot één frase, waardoor het advies heen en weer schommelt tussen opnieuw installeren en opnieuw configureren. Weten welke toestand je echt mist, maakt van een middag gissen een controle van twee minuten.

Die toestanden hebben niet alleen verschillende locaties, maar ook verschillende eigenaren. Eén hoort bij het extensieregister van het besturingssysteem, één bij het beleid waaraan het apparaat gehoorzaamt, en één bij de eigen sessie van de client. Omdat de eigenaren verschillen, verandert een correctie op één ervan zelden de andere twee.

Drie toestanden die één naam krijgen

De volgorde waarin je ze leest is belangrijker dan de lijst zelf: begin bij het register, want een onderdeel dat nooit is geactiveerd kan niet verbonden zijn, lees dan het beleid, dat beslist of activering überhaupt mogelijk is, en lees daarna de client, de enige van de drie die een sessie beschrijft. Een mismatch hoog in die volgorde verklaart elk symptoom eronder, en een mismatch laag laat de twee erboven intact.

Een concreet voorbeeld van het onderscheid: een registervermelding die als geactiveerd leest plus een client die niet kan verbinden, wijst op het profiel of de server, niet op de extensie. De omgekeerde combinatie, een geactiveerde client naast een register dat niets toont, betekent meestal dat de app die je bekijkt niet degene is die verkeer draagt. Schrijf op welke combinatie je zag voordat je iets aanraakt.

De extensie vinden zonder het pictogram te vertrouwen

Huidige releases vermelden netwerkextensies onder Systeeminstellingen, Algemeen, Inlogitems en Extensies. Zoek de vermelding die naar het product of zijn uitgever is vernoemd en lees de schakelaar ernaast in plaats van het pictogram in de menubalk. Labels en posities zijn tussen macOS-versies verschoven, dus volg de instructies van de leverancier voor jouw release in plaats van een schermafbeelding uit een ouder artikel. Een vermelding die volledig ontbreekt betekent dat het onderdeel nooit is geïnstalleerd, en profielbewerking zal het niet tevoorschijn toveren.

systemextensionsctl list
log show --last 10m --predicate 'subsystem == "com.apple.networkextension"' --style compact

De eerste opdracht is de snelste manier om te zien wat er is geïnstalleerd en of elke extensie zich als geactiveerd rapporteert. De tweede laat zien waarom een activering wordt geweigerd, omdat de weigering meestal komt als een beleids- of handtekeningklacht die de gebruikersinterface nooit bereikt. Lees de weigeringstekst voordat je iets wijzigt: de logregel noemt het onderdeel en vaak de reden, en dat is precies wat een supportcase nodig heeft. Kopieer de hele regel in plaats van de zin die je belangrijk vindt, want de versie en de identifier staan aan de tegenovergestelde uiteinden.

Wat de client toegeeft en de lijst niet

Vraag de client, nu de extensie bevestigd is, of hij een profiel en een sessie heeft, want een opgeslagen profiel zonder verbinding is een configuratieprobleem, terwijl een verbinding die geen verkeer draagt een routerings- of beleidsprobleem is. Alle drie als één behandelen stuurt je terug naar het opnieuw installeren van een onderdeel dat al die tijd werkte.

scutil --nc list
scutil --nc status "Work VPN"

De lijst toont geconfigureerde services en hun verbindingsstatus; de statusaanroep toont de toestand van één genoemde service en de laatste fout ervan. Leg die tekst en de macOS-versie vast voordat je opnieuw installeert, want de herinstallatie vernietigt het bewijs en reproduceert vaak dezelfde storing.

Wanneer het beleid de schakelaar bezit

Op een beheerde Mac kan een configuratieprofiel de extensie in een vaste toestand houden, en dan wordt de schakelaar volgens ontwerp grijs. Een niet-beschikbare schakelaar is een beleidsverklaring en geen fout om omheen te werken. Het profiel of de beheerinschrijving verwijderen om erbij te komen verandert de beveiligingshouding van het apparaat, wordt bij de volgende check-in teruggedraaid en laat een machine achter die zichzelf als compliant rapporteert terwijl de besturingselementen die dat mogelijk maakten ontbreken. Dat resultaat is erger dan het oorspronkelijke probleem, want het verbergt zowel de oorzaak als het symptoom.

Breng het verzoek naar de beheerder met de extensie-identifier, de exacte weigeringstekst en de versie. Een beheerde uitrol kan een netwerkextensie meestal binnen enkele minuten centraal goedkeuren, wat sneller is dan de omweg en achteraf controleerbaar.

De oplossing bewijzen op een echte toepassing

Maak na elke ondersteunde correctie opnieuw verbinding en test de toepassing waarvoor de VPN bestaat, in plaats van de badge in de menubalk. Bevestig daarna dat verkeer dat buiten de tunnel moet blijven, er nog steeds buiten blijft, want een correctie die alles stilzwijgend routeert is een andere wijziging dan je bedoelde. Een test van twee minuten op de echte toepassing is meer waard dan een badge die je niet kunt reproduceren.

Eén waarschuwing terwijl je in die lijst staat: een inhoudsfilter is ook een netwerkextensie. Wanneer één site faalt, is elke extensie in het paneel uitschakelen een grove zet die ongerelateerde filtering voor andere toepassingen breekt, en het maakt de volgende diagnose moeilijker door de onderdelen weg te halen die je zou vergelijken. Identificeer de extensie op uitgever en rol voordat je haar aanraakt, en schrijf op welke van de drie toestanden echt fout was.