iMessage não atualiza através da VPN do Mac: verificações por ordem

Se o Messages deixa de sincronizar enquanto o Safari continua a carregar páginas, a VPN é uma causa plausível, mas não provada. O iMessage depende do Apple Push Notification service e dos serviços de identidade da Apple, e um túnel pode alterar a rota, o resolver ou a inspeção aplicada a essas ligações sem tocar no tráfego web. Uma única porta bloqueada raramente é a história toda, por isso as verificações abaixo avançam do Mac para fora. Pare na primeira etapa que falhar e corrija essa etapa antes de mudar mais alguma coisa.

Fixe primeiro o sintoma. Falha de início de sessão, uma mensagem que nunca sai, uma mensagem que nunca chega e um anexo que não descarrega são quatro problemas diferentes que, por acaso, partilham uma aplicação. Anote qual tem, qual perfil de VPN estava ativo e a versão do cliente; essa nota também é o que o responsável da rede vai precisar mais tarde.

Verificação 1: o que o túnel encaminha e que âmbito abrange

Olhe para o perfil antes da aplicação. Um túnel completo envia todo o tráfego pela VPN, um túnel dividido envia apenas as sub-redes listadas, e um túnel por aplicação inclui apenas as aplicações escolhidas. Se o Messages estiver fora do conjunto incluído, está a usar a interface física e a VPN não pode ser a causa. scutil --nc list mostra serviços geridos por configuração, netstat -rn -f inet mostra para onde aponta a rota predefinida, e a vista de perfil do cliente mostra se o âmbito é baseado em aplicações.

Condição de aprovação: a rota predefinida ou a inclusão por aplicação cobre realmente o Messages, e o perfil que está a testar é o que está aplicado agora. Se não, pare e inspecione o cliente ou o sistema operativo em vez da rede.

Verificação 2: política de resolver e inspeção

Os serviços push e de conta resolvem nomes que muitas vezes diferem dos que o seu navegador usa, e o DNS dividido pode enviar essas consultas para um local inesperado. scutil --dns lista resolvers por domínio; compare o resolver usado para domínios Apple com o que espera. Um resolver que responde com um endereço interno, ou recusa a consulta de imediato, quebra o serviço antes de um único pacote chegar à Apple.

Depois verifique se o túnel inspeciona TLS. Os requisitos de rede da Apple afirmam que os serviços listados não foram concebidos para interceção HTTPS, e um equipamento que termina essas ligações pode deixar a navegação web intacta enquanto as mensagens falham em silêncio. Se a inspeção cobrir tudo, exclua as categorias de serviços Apple relevantes e teste novamente em vez de desativar a inspeção globalmente.

Verificação 3: transporte APNs, incluindo 443

As ligações dos dispositivos aos APNs usam TCP 5223, sendo o TCP 443 usado para ativação e recurso em situações suportadas. Ambas são ligações de saída iniciadas pelo dispositivo. Não precisa de uma porta de entrada no router, e publicar uma no Mac expõe um serviço sem ajudar um cliente que, de qualquer forma, não chega à Apple.

Condição de aprovação: uma mensagem nova do Mac chega a um destinatário noutra rede, e a resposta dele chega, com o mesmo perfil ainda ativo. Envie uma mensagem não sensível e espere uma resposta em vez de um lote, para que um sucesso parcial ainda mostre que direção falhou. Se o envio funcionar e os anexos pararem, o transporte está provavelmente bem e o caminho mais estreito é o que deve inspecionar.

Verificação 4: estado da conta antes de a repor

Um erro de ativação ou de início de sessão pertence à camada da conta, não ao túnel. Confirme que a data e a hora do Mac estão corretas, que o Apple ID tem sessão iniciada e se um pedido de verificação está à espera noutro dispositivo. Uma aprovação de dois fatores pendente parece exatamente uma falha de conetividade vista de dentro da janela do Messages.

Resista ao instinto de repor. Terminar e reiniciar sessão, ou repor a conta, descarta o estado que lhe teria mostrado onde estava a falha, e num Mac gerido pode iniciar passos de inscrição que não consegue anular sozinho. Autentique-se novamente uma vez, e só depois de as verificações de transporte terem passado e de a conta ser o suspeito restante.

O que entregar ao responsável da rede

Se as verificações apontarem para o túnel, o relatório útil é curto: modelo do Mac e versão do macOS, nome e versão do cliente, nome do perfil, a janela temporal, que direção falhou e a observação de rota ou resolver que divergiu. Deixe de fora o conteúdo das mensagens e capturas de ecrã das conversas.

Peça que a política seja aplicada na verdadeira fronteira de filtragem. Os requisitos de rede empresariais atuais da Apple listam anfitriões e condições de transporte por serviço, para que o responsável os possa comparar com o conjunto de regras em vez de abrir uma porta e esperar. Teste novamente com uma mensagem após cada alteração; duas variáveis ao mesmo tempo dão um resultado que não consegue ler.