Включено ли расширение VPN на вашем Mac? Три места, которые стоит проверить

Строка меню сообщает о подключении, а список расширений по-прежнему помечает компонент как неактивированный. Оба показания получены с одного и того же Mac, и ни одно из них не лжёт: они описывают разные факты. macOS хранит как минимум три отдельных состояния для VPN-клиента, а ветки поддержки сводят их к одной фразе, поэтому совет колеблется между переустановкой и перенастройкой. Понимание того, какого состояния вам на самом деле не хватает, превращает день догадок в двухминутную проверку.

У этих состояний разные владельцы, а не только разные места. Одно принадлежит реестру расширений операционной системы, другое политике, которой подчиняется устройство, а третье собственной сессии клиента. Поскольку владельцы разные, исправление, применённое к одному из них, редко меняет два других.

Три состояния, которые называют одним словом

Порядок чтения важнее самого списка: начните с реестра, потому что компонент, который так и не был активирован, не может быть подключён, затем прочитайте политику, которая решает, возможно ли активирование в принципе, и наконец клиент, единственный из трёх, описывающий сессию. Несоответствие в верхней части этого порядка объясняет все симптомы ниже, а несоответствие внизу оставляет два верхних нетронутыми.

Конкретный пример различия: запись реестра, которая читается как активированная, вместе с клиентом, который не может подключиться, указывает на профиль или сервер, а не на расширение. Обратная комбинация, активированный клиент рядом с реестром, который ничего не показывает, обычно означает, что приложение, на которое вы смотрите, не то, что переносит трафик. Запишите, какую комбинацию вы наблюдали, прежде чем что-либо трогать.

Найти расширение, не доверяя значку

Текущие выпуски перечисляют сетевые расширения в разделе «Системные настройки», «Основные», «Элементы входа и расширения». Найдите запись, названную по продукту или его издателю, и прочитайте переключатель рядом с ней, а не значок в строке меню. Названия и расположение менялись между версиями macOS, поэтому следуйте инструкциям поставщика для вашего выпуска, а не снимку экрана из старой статьи. Полностью отсутствующая запись означает, что компонент никогда не устанавливался, и редактирование профиля его не создаст.

systemextensionsctl list
log show --last 10m --predicate 'subsystem == "com.apple.networkextension"' --style compact

Первая команда — самый быстрый способ увидеть, что установлено и сообщает ли каждое расширение о себе как об активированном. Вторая показывает, почему активирование отклоняется, потому что отказ обычно приходит как жалоба на политику или подпись, которая так и не доходит до пользовательского интерфейса. Прочитайте текст отказа, прежде чем что-то менять: строка журнала называет компонент и часто причину, а это именно то, что нужно обращению в поддержку. Копируйте строку целиком, а не фразу, которую считаете важной, поскольку версия и идентификатор находятся на противоположных её концах.

Что клиент признаёт, а список нет

Когда расширение подтверждено, спросите клиент, есть ли у него профиль и сессия, потому что сохранённый профиль без подключения — это проблема конфигурации, а подключение, которое не переносит трафик, — проблема маршрутизации или политики. Если считать все три одним, вы вернётесь к переустановке компонента, который работал всё это время.

scutil --nc list
scutil --nc status "Work VPN"

Список показывает настроенные службы и их состояние подключения; вызов статуса показывает состояние одной именованной службы и её последнюю ошибку. Сохраните этот текст и версию macOS перед переустановкой, потому что переустановка уничтожает доказательства и часто воспроизводит ту же неисправность.

Когда переключателем владеет политика

На управляемом Mac профиль конфигурации может удерживать расширение в фиксированном состоянии, и тогда переключатель по замыслу становится серым. Недоступный переключатель — это заявление политики, а не ошибка, которую нужно обходить. Удаление профиля или регистрации в управлении, чтобы добраться до него, меняет состояние безопасности устройства, откатывается при следующей проверке и оставляет машину, которая сообщает о соответствии, тогда как элементы управления, обеспечивавшие это соответствие, отсутствуют. Такой результат хуже исходной проблемы, потому что скрывает и причину, и симптом.

Отнесите запрос администратору, указав идентификатор расширения, точный текст отказа и версию. Управляемое развёртывание обычно может централизованно одобрить сетевое расширение за несколько минут, что быстрее обходного пути и поддаётся аудиту впоследствии.

Доказать исправление на реальном приложении

После любого поддерживаемого исправления переподключитесь и проверьте приложение, для которого существует VPN, а не значок в строке меню. Затем убедитесь, что трафик, который должен оставаться вне туннеля, по-прежнему остаётся снаружи, потому что исправление, тихо направляющее всё в туннель, — это другое изменение, не то, которое вы задумали. Двухминутная проверка на реальном приложении ценнее значка, который вы не можете воспроизвести.

Одно предостережение, пока вы в этом списке: фильтр содержимого — тоже сетевое расширение. Когда не работает один сайт, отключение каждого расширения на панели — грубый ход, который ломает несвязанную фильтрацию для других приложений и усложняет следующую диагностику, убирая компоненты, которые вы бы сравнили. Определите расширение по издателю и роли, прежде чем трогать его, и запишите, какое из трёх состояний действительно было неверным.