Czy rozszerzenie VPN na Twoim Macu jest włączone? Trzy miejsca do sprawdzenia

Pasek menu zgłasza połączenie, podczas gdy lista rozszerzeń nadal oznacza komponent jako nieaktywowany. Oba odczyty pochodzą z tego samego Maca i żaden z nich nie kłamie: opisują różne fakty. macOS utrzymuje co najmniej trzy odrębne stany dla klienta VPN, a wątki pomocy łączą je w jedno sformułowanie, dlatego porada oscyluje między ponowną instalacją a ponowną konfiguracją. Wiedza, którego stanu naprawdę brakuje, zamienia popołudnie domysłów w dwuminutową kontrolę.

Te stany mają różnych właścicieli, a nie tylko różne miejsca. Jeden należy do rejestru rozszerzeń systemu operacyjnego, jeden do polityki, której urządzenie podlega, a jeden do własnej sesji klienta. Ponieważ właściciele się różnią, poprawka zastosowana do jednego z nich rzadko zmienia pozostałe dwa.

Trzy stany, które nazywa się jednym słowem

Kolejność czytania ma większe znaczenie niż sama lista: zacznij od rejestru, bo komponent, który nigdy nie został aktywowany, nie może być połączony, potem przeczytaj politykę, która decyduje, czy aktywacja jest w ogóle możliwa, a na końcu klienta, który jest jedynym z trzech opisującym sesję. Niezgodność wysoko w tej kolejności wyjaśnia każdy objaw poniżej, a niezgodność nisko zostawia dwie powyższe nietknięte.

Konkretny przykład różnicy: wpis rejestru czytany jako aktywowany wraz z klientem, który nie może się połączyć, wskazuje na profil lub serwer, a nie na rozszerzenie. Odwrotna kombinacja, aktywowany klient obok rejestru, który nic nie pokazuje, zwykle oznacza, że aplikacja, na którą patrzysz, nie jest tą, która przenosi ruch. Zapisz, którą kombinację zaobserwowałeś, zanim czegokolwiek dotkniesz.

Znalezienie rozszerzenia bez zaufania do ikony

Bieżące wydania wymieniają rozszerzenia sieciowe w Ustawieniach systemowych, w sekcji Ogólne, Elementy logowania i Rozszerzenia. Znajdź wpis nazwany od produktu lub jego wydawcy i odczytaj przełącznik obok niego, a nie glif na pasku menu. Etykiety i położenia zmieniały się między wersjami macOS, więc postępuj według instrukcji producenta dla swojego wydania, a nie według zrzutu ekranu ze starego artykułu. Wpis, którego w ogóle nie ma, oznacza, że komponent nigdy nie został zainstalowany, a edycja profilu go nie wywoła.

systemextensionsctl list
log show --last 10m --predicate 'subsystem == "com.apple.networkextension"' --style compact

Pierwsze polecenie to najszybszy sposób, by zobaczyć, co jest zainstalowane i czy każde rozszerzenie zgłasza się jako aktywowane. Drugie pokazuje, dlaczego aktywacja jest odrzucana, ponieważ odmowa zwykle przychodzi jako skarga na politykę lub podpis, która nigdy nie dociera do interfejsu użytkownika. Przeczytaj treść odmowy, zanim cokolwiek zmienisz: wiersz dziennika nazywa komponent i często powód, a to dokładnie to, czego potrzebuje zgłoszenie do pomocy. Skopiuj cały wiersz, a nie frazę, którą uważasz za istotną, ponieważ wersja i identyfikator znajdują się na przeciwnych końcach.

Co klient przyznaje, a czego lista nie

Gdy rozszerzenie jest potwierdzone, zapytaj klienta, czy ma profil i sesję, ponieważ zapisany profil bez połączenia to problem konfiguracji, a połączenie, które nie przenosi ruchu, to problem routingu lub polityki. Traktowanie wszystkich trzech jako jednego odsyła cię do ponownej instalacji komponentu, który działał przez cały czas.

scutil --nc list
scutil --nc status "Work VPN"

Lista pokazuje skonfigurowane usługi i ich stan połączenia; wywołanie statusu pokazuje stan jednej nazwanej usługi i jej ostatni błąd. Zapisz ten tekst i wersję macOS przed ponowną instalacją, ponieważ reinstalacja niszczy dowody i często odtwarza ten sam błąd.

Kiedy polityka jest właścicielem przełącznika

Na zarządzanym Macu profil konfiguracji może utrzymywać rozszerzenie w stałym stanie, a przełącznik staje się wtedy szary zgodnie z projektem. Niedostępny przełącznik jest deklaracją polityki, a nie błędem do obejścia. Usunięcie profilu lub rejestracji zarządzania, aby do niego dotrzeć, zmienia poziom bezpieczeństwa urządzenia, zostaje cofnięte przy następnym meldowaniu i pozostawia maszynę, która zgłasza zgodność, choć brakuje mechanizmów, które ją zapewniały. Ten wynik jest gorszy od pierwotnego problemu, ponieważ ukrywa zarówno przyczynę, jak i objaw.

Zanieś prośbę do administratora z identyfikatorem rozszerzenia, dokładną treścią odmowy i wersją. Zarządzane wdrożenie zwykle może zatwierdzić rozszerzenie sieciowe centralnie w kilka minut, co jest szybsze niż obejście i możliwe do audytu później.

Udowodnienie poprawki na prawdziwej aplikacji

Po każdej obsługiwanej poprawce połącz się ponownie i przetestuj aplikację, dla której istnieje VPN, a nie odznakę na pasku menu. Następnie potwierdź, że ruch, który powinien pozostać poza tunelem, nadal pozostaje na zewnątrz, ponieważ poprawka, która po cichu kieruje wszystko, jest inną zmianą niż zamierzona. Dwuminutowy test na prawdziwej aplikacji jest wart więcej niż odznaka, której nie potrafisz odtworzyć.

Jedno ostrzeżenie, gdy jesteś na tej liście: filtr treści też jest rozszerzeniem sieciowym. Gdy jedna witryna zawodzi, wyłączenie każdego rozszerzenia w panelu to gruby ruch, który psuje niezwiązane filtrowanie innych aplikacji i utrudnia kolejną diagnozę, usuwając komponenty, które byś porównał. Zidentyfikuj rozszerzenie po wydawcy i roli, zanim go dotkniesz, i zapisz, który z trzech stanów był naprawdę błędny.