A extensão de VPN do seu Mac está ativada? Três lugares para verificar

A barra de menus informa conectado enquanto a lista de extensões ainda marca o componente como não ativado. As duas leituras vêm do mesmo Mac, e nenhuma delas mente: descrevem fatos diferentes. O macOS mantém pelo menos três estados separados para um cliente de VPN, e as discussões de suporte os resumem a uma única frase, e é por isso que o conselho oscila entre reinstalar e reconfigurar. Saber de qual estado você realmente está sentindo falta transforma uma tarde de suposições em uma verificação de dois minutos.

Esses estados têm donos diferentes além de locais diferentes. Um pertence ao registro de extensões do sistema operacional, um à política que o dispositivo obedece e um à própria sessão do cliente. Como os donos são diferentes, uma correção aplicada a um deles raramente altera os outros dois.

Três estados que recebem um único nome

A ordem em que você os lê importa mais do que a própria lista: comece pelo registro, porque um componente que nunca foi ativado não pode estar conectado, depois leia a política, que decide se a ativação é possível, e por fim leia o cliente, que é o único dos três a descrever uma sessão. Uma divergência no alto dessa ordem explica todos os sintomas abaixo dela, e uma divergência embaixo deixa as duas de cima intactas.

Um exemplo concreto da distinção: uma entrada de registro que se lê como ativada junto com um cliente que não consegue conectar aponta para o perfil ou o servidor, não para a extensão. A combinação inversa, um cliente ativado ao lado de um registro que não mostra nada, normalmente significa que o aplicativo que você está vendo não é o que carrega o tráfego. Anote qual combinação você observou antes de tocar em qualquer coisa.

Localizar a extensão sem confiar no ícone

As versões atuais listam as extensões de rede em Ajustes do Sistema, Geral, Itens de Login e Extensões. Encontre a entrada com o nome do produto ou do seu editor e leia o interruptor ao lado dela, em vez do glifo na barra de menus. Rótulos e posições mudaram entre versões do macOS, então siga as instruções do fornecedor para a sua versão em vez de uma captura de tela de um artigo antigo. Uma entrada totalmente ausente significa que o componente nunca foi instalado, e editar o perfil não vai fazê-lo aparecer.

systemextensionsctl list
log show --last 10m --predicate 'subsystem == "com.apple.networkextension"' --style compact

O primeiro comando é a forma mais rápida de ver o que está instalado e se cada extensão se declara ativada. O segundo mostra por que uma ativação está sendo recusada, porque a recusa costuma chegar como uma queixa de política ou de assinatura que nunca alcança a interface do usuário. Leia o texto da recusa antes de mudar qualquer coisa: a linha de log nomeia o componente e frequentemente o motivo, que é exatamente o que um caso de suporte precisa. Copie a linha inteira em vez da frase que você acha importante, já que a versão e o identificador ficam nas extremidades opostas dela.

O que o cliente admite e a lista não

Com a extensão confirmada, pergunte ao cliente se ele tem um perfil e uma sessão, porque um perfil salvo sem conexão é um problema de configuração, enquanto uma conexão que não carrega tráfego é um problema de roteamento ou de política. Tratar os três como um só manda você de volta a reinstalar um componente que funcionava o tempo todo.

scutil --nc list
scutil --nc status "Work VPN"

A lista mostra os serviços configurados e o estado de conexão deles; a chamada de status mostra o estado de um serviço nomeado e seu último erro. Registre esse texto e a versão do macOS antes de reinstalar, porque a reinstalação destrói a evidência e frequentemente reproduz a mesma falha.

Quando a política é dona do interruptor

Em um Mac gerenciado um perfil de configuração pode manter a extensão em um estado fixo, e o interruptor então fica cinza por design. Um interruptor indisponível é uma declaração de política, não um bug a contornar. Excluir o perfil ou a inscrição de gerenciamento para chegar até ele muda a postura de segurança do dispositivo, é revertido no próximo check-in e deixa uma máquina que se declara em conformidade enquanto faltam os controles que a tornavam conforme. Esse resultado é pior do que o problema original, porque esconde a causa além do sintoma.

Leve a solicitação ao administrador com o identificador da extensão, o texto exato da recusa e a versão. Uma implantação gerenciada geralmente pode aprovar uma extensão de rede centralmente em minutos, o que é mais rápido do que o contorno e auditável depois.

Provar a correção em um aplicativo real

Depois de qualquer correção suportada, reconecte e teste o aplicativo para o qual a VPN existe, em vez do selo na barra de menus. Em seguida, confirme que o tráfego que deve ficar fora do túnel continua fora, porque uma correção que roteia tudo silenciosamente é uma mudança diferente da que você pretendia. Um teste de dois minutos no aplicativo real vale mais do que um selo que você não consegue reproduzir.

Um aviso enquanto você está nessa lista: um filtro de conteúdo também é uma extensão de rede. Quando um único site falha, desativar todas as extensões do painel é um movimento grosseiro que quebra a filtragem não relacionada de outros aplicativos, e torna o próximo diagnóstico mais difícil ao remover os componentes que você compararia. Identifique a extensão por editor e função antes de tocá-la, e anote qual dos três estados estava realmente errado.