Klient VPN pre Mac: Network Extension verzus System Extension

Dva výrazy Apple sa používajú, akoby označovali to isté, a tento zmätok posiela ľudí do nesprávneho panela nastavení. Network Extension opisuje schopnosť: podporovaný spôsob implementácie VPN tunelov, proxy a filtrov. System Extensions opisuje mechanizmus doručenia a schválenia pre rozšírenia v používateľskom priestore. Moderný Mac VPN klient zvyčajne potrebuje oboje, preto žiadna zo značiek sama o sebe symptóm nevysvetlí. Oddelenie oboch odpovedá, ktorý komponent prezrieť a ktorý krok schválenia očakávať.

Dve otázky, nie jedna značka

Pýtajte sa, čo komponent robí, skôr než sa spýtate, ako sa inštaluje. Schopnosť určuje, ktorá trieda poskytovateľa existuje, a teda ktorý kód spracúva vaše pakety. Mechanizmus doručenia určuje, ako prichádza binárka, ako sa schvaľuje a kde sa zaznamenáva jej stav. Produkt môže implementovať paketový tunel bez dodania systémového rozšírenia v starších verziách a môže dodať systémové rozšírenie, ktoré implementuje niečo iné než tunel.

Rozšírenia jadra sú tretí výraz, ktorý ľudia miešajú. Boli starším spôsobom spúšťania privilegovaného sieťového kódu, vyžadovali iné schválenia a Apple už roky odvádza vývojárov preč. Použitie receptu na schválenie rozšírenia jadra na modernom klientovi plytvá časom na dialógu, ktorý sa nikdy neobjaví.

Prečítajte si poznámky k nasadeniu od dodávateľa pre verziu macOS, ktorú používate namiesto príspevku na fóre z dávnejšej verzie. Architektúra sa zmenila viac ako raz a pokyny rýchlo zastarú. Poznámka, ktorá spomína schválenie rozšírenia jadra, opisuje inú éru produktu.

Čo Network Extension poskytuje

Rámec poskytuje typy poskytovateľov pre bežné sieťové úlohy: paketový tunel pre VPN prevádzku, proxy aplikácií pre toky po aplikáciách, filter obsahu na kontrolu prevádzky a správu DNS proxy pre správanie resolvera. Typ poskytovateľa určuje, čo rozšírenie môže robiť, a klient, ktorý dodáva dvoch poskytovateľov, môže robiť dve rôzne práce.

To je dôležité pri diagnostike, pretože rovnaký symptóm pripojenia môže pochádzať z tunela, filtra alebo DNS proxy. Blokovanie webu je rozhodnutie filtra, nedostupnosť privátnej podsiete je zvyčajne rozhodnutie tunela a rozlíšenie nesprávnej adresy je zvyčajne rozhodnutie resolvera. Pomenovanie typu poskytovateľa zúži hľadanie pred prečítaním akéhokoľvek denníka.

Nič v rámci nenaznačuje postoj k súkromiu. Rozšírenie v používateľskom priestore má stále oprávnenia, konfiguráciu a operátora za sebou, preto architektúru berte ako detail implementácie, nie ako signál dôvery. Pýtajte sa, kto prevádzkuje koncový bod a čo je nakonfigurovaný zbierať.

Čo System Extensions mení

Mechanizmus presúva privilegovaný kód z jadra do používateľského priestoru a mení, ako operačný systém žiada o súhlas. Aktivácia je samostatný krok od inštalácie a používateľ alebo profil MDM ju musí povoliť. Klient, ktorý sa nainštaluje, ale nikdy sa neaktivuje vyzerá prítomný v priečinku Applications a pre pripojenie nerobí nič.

Stav zaznamenáva systém, nie aplikácia, čo je užitočné, pretože sa naň dá opýtať. Príkaz nižšie vypisuje rozšírenia, ktoré systém pozná, a ich stav aktivácie.

systemextensionsctl list
scutil --nc list

Prvý príkaz odpovedá, či je komponent nainštalovaný a aktivovaný. Druhý vypisuje konfigurácie VPN, ktoré systém drží, čo je iná otázka a často tá, na ktorej záleží, keď profil pripojenia chýba, a nie je pokazený.

Ktorý prezrieť pri danom symptóme

Priraďte symptóm k vrstve, skôr než otvoríte panel nastavení. Chýbajúca konfigurácia je otázka profilu, nainštalovaný ale neaktívny komponent je otázka doručenia a aktívny komponent, ktorý neprepustí prevádzku, je otázka schopnosti.

Tok denníka je spoločný dôkaz pre posledné dva riadky. Čítanie podsystému sieťového rozšírenia povie, ktorý poskytovateľ tok spracoval, a rozhodnutie filtra vyzerá inak než zlyhanie tunela, aj keď používateľ oboje opisuje ako pokazenú VPN.

log show --last 10m --predicate 'process == "nesessionmanager"'

Nedochádzajte k záveru, že rozšírenie je aktívne, pretože v paneli ponuky je ikona. Ikony prežívajú neúspešné aktivácie a zastaraná ikona je jednou z najčastejších príčin, prečo sa hovor na podporu začína na nesprávnom mieste. Čítajte namiesto toho stav aktivácie, pretože ten systém zaznamenáva.

Schválenie, MDM a mýtus rozšírenia jadra

Na spravovaných Macoch krok schválenia patrí profilu MDM a používateľ, ktorý klikne na Allow v System Settings, môže byť stále zablokovaný politikou, ktorá nebola aktualizovaná. Pýtajte sa desktopového tímu, ktorý mechanizmus schvaľuje rozšírenie pre túto flotilu, skôr než požiadate používateľa, aby na niečo klikol.

Na nespravovanom Macu sa výzva na schválenie zobrazí raz a odmietnutie môže byť trvalé, kým sa rozšírenie nenainštaluje znova. Toto správanie vysvetľuje stroj, na ktorom klient fungoval pred aktualizáciou OS a teraz hlási pripojenie, ktoré sa nikdy nenadviaže.

Zapíšte typ poskytovateľa, stav aktivácie a mechanizmus schválenia pre klienta, ktorého nasadzujete. Tieto tri fakty odpovedajú na väčšinu budúcich otázok o Mac VPN bez opätovného otvorenia sporu schopnosť verzus doručenie.