Odjemalec VPN za Mac: Network Extension proti System Extension

Dva Appletova izraza se uporabljata, kot da bi poimenovala isto stvar, in ta zmeda pošilja ljudi v napačno ploščo z nastavitvami. Network Extension opisuje zmogljivost: podprt način za izvajanje VPN tunelov, posrednikov in filtrov. System Extensions opisuje mehanizem dostave in odobritve za razširitve v uporabniškem prostoru. Sodoben odjemalec VPN za Mac običajno potrebuje oboje, zato nobena oznaka sama ne pojasni simptoma. Ločevanje obeh odgovori, katero komponento pregledati in kateri korak odobritve pričakovati.

Dve vprašanji, ne ena oznaka

Vprašajte, kaj komponenta počne, preden vprašate, kako se namesti. Zmogljivost določa, kateri razred ponudnika obstaja in zato katera koda obdeluje vaše pakete. Mehanizem dostave določa, kako prispe binarna datoteka, kako se odobri in kje se zabeleži njeno stanje. Izdelek lahko izvede paketni tunel brez dostave sistemske razširitve v starejših različicah in lahko dostavi sistemsko razširitev, ki izvaja nekaj drugega kot tunel.

Razširitve jedra so tretji izraz, ki ga ljudje mešajo. Bile so starejši način izvajanja privilegirane omrežne kode, zahtevale so drugačne odobritve in Apple že leta usmerja razvijalce stran od njih. Uporaba recepta za odobritev razširitve jedra na sodobnem odjemalcu zapravlja čas za pogovorno okno, ki se ne bo nikoli pojavilo.

Preberite namestitvene opombe ponudnika za različico macOS, ki jo uporabljate namesto objave na forumu iz prejšnje različice. Arhitektura se je spremenila več kot enkrat in navodila hitro zastarajo. Opomba, ki omenja odobritev razširitve jedra, opisuje drugo dobo izdelka.

Kaj ponuja Network Extension

Ogrodje ponuja tipe ponudnikov za običajna omrežna opravila: paketni tunel za promet VPN, aplikacijski posrednik za tokove po aplikacijah, vsebinski filter za pregled prometa in upravljanje posrednika DNS za vedenje razreševalnika. Tip ponudnika določa, kaj razširitev lahko počne, in odjemalec, ki dostavi dva ponudnika, lahko opravlja dve različni nalogi.

To je pomembno pri diagnostiki, ker lahko isti simptom povezljivosti izhaja iz tunela, filtra ali posrednika DNS. Blokiranje spletnega mesta je odločitev filtra, nedoseganje zasebnega podomrežja je običajno odločitev tunela, razreševanje napačnega naslova pa je običajno odločitev razreševalnika. Poimenovanje tipa ponudnika zoži iskanje, preden se prebere kateri koli dnevnik.

Nič v ogrodju ne nakazuje stališča glede zasebnosti. Razširitev v uporabniškem prostoru ima še vedno dovoljenja, konfiguracijo in za seboj upravljavca, zato obravnavajte arhitekturo kot podrobnost izvedbe in ne kot signal zaupanja. Vprašajte, kdo upravlja končno točko in kaj je konfigurirano za zbiranje.

Kaj System Extensions spremeni

Mehanizem premakne privilegirano kodo iz jedra v uporabniški prostor in spremeni, kako operacijski sistem zahteva soglasje. Aktivacija je ločen korak od namestitve in uporabnik ali profil MDM jo mora dovoliti. Odjemalec, ki se namesti, a se nikoli ne aktivira je videti prisoten v mapi Applications in ne naredi ničesar za povezljivost.

Stanje zabeleži sistem in ne aplikacija, kar je koristno, ker ga je mogoče poizvedeti. Ukaz spodaj navaja razširitve, ki jih sistem pozna, in njihovo stanje aktivacije.

systemextensionsctl list
scutil --nc list

Prvi ukaz odgovori, ali je komponenta nameščena in aktivirana. Drugi navaja konfiguracije VPN, ki jih sistem hrani, kar je drugo vprašanje in pogosto tisto, ki je pomembno, ko profil povezave manjka, namesto da bi bil pokvarjen.

Katero pregledati za določen simptom

Uskladite simptom s plastjo, preden odprete ploščo z nastavitvami. Manjkajoča konfiguracija je vprašanje profila, nameščena a neaktivna komponenta je vprašanje dostave, aktivna komponenta, ki ne spusti prometa skozi, pa je vprašanje zmogljivosti.

Tok dnevnika je skupni dokaz za zadnji dve vrstici. Branje podsistema omrežne razširitve pove, kateri ponudnik je obdelal tok, in odločitev filtra je videti drugačna kot okvara tunela, tudi ko uporabnik oboje opiše kot pokvarjen VPN.

log show --last 10m --predicate 'process == "nesessionmanager"'

Ne sklepajte, da je razširitev aktivna, ker je v menijski vrstici ikona. Ikone preživijo neuspele aktivacije in zastarela ikona je eden najpogostejših razlogov, da se klic podpore začne na napačnem mestu. Namesto tega berite stanje aktivacije, ker to sistem zabeleži.

Odobritev, MDM in mit o razširitvi jedra

Na upravljanih Macih korak odobritve pripada profilu MDM in uporabnik, ki v System Settings klikne Allow, je lahko še vedno blokiran s pravilnikom, ki ni bil posodobljen. Vprašajte namizno ekipo, kateri mehanizem odobri razširitev za to floto, preden prosite uporabnika, da karkoli klikne.

Na neupravljanem Macu se poziv za odobritev pojavi enkrat in zavrnitev je lahko trajna, dokler razširitev ni znova nameščena. To vedenje pojasnjuje stroj, na katerem je odjemalec deloval pred nadgradnjo OS in zdaj poroča o povezavi, ki se nikoli ne vzpostavi.

Zapišite tip ponudnika, stanje aktivacije in mehanizem odobritve za odjemalca, ki ga nameščate. Ta tri dejstva odgovorijo na večino prihodnjih vprašanj o VPN za Mac, ne da bi znova odprli spor med zmogljivostjo in dostavo.