Klienti VPN për Mac: Network Extension kundrejt System Extension

Dy terma të Apple përdoren sikur të emërtojnë të njëjtën gjë, dhe kjo ngatërresë i dërgon njerëzit në panelin e gabuar të cilësimeve. Network Extension përshkruan një aftësi: një mënyrë të mbështetur për të zbatuar tunele VPN, përfaqësues dhe filtra. System Extensions përshkruan një mekanizëm shpërndarjeje dhe miratimi për shtesat në hapësirën e përdoruesit. Një klient modern VPN për Mac zakonisht ka nevojë për të dyja, prandaj asnjë etiketë e vetme nuk shpjegon një simptomë. Ndarja e të dyjave përgjigjet se cila komponentë duhet kontrolluar dhe cili hap miratimi duhet pritur.

Dy pyetje, jo një etiketë

Pyetni çfarë bën komponentja përpara se të pyesni si instalohet. Aftësia përcakton cila klasë ofruesi ekziston dhe për rrjedhojë cili kod trajton paketat tuaja. Mekanizmi i shpërndarjes përcakton si mbërrin binari, si miratohet dhe ku regjistrohet gjendja e tij. Një produkt mund të zbatojë një tunel paketash pa shpërndarë një shtesë sistemi në versionet më të vjetra, dhe mund të shpërndajë një shtesë sistemi që zbaton diçka tjetër përveç tunelit.

Shtesat e kernelit janë termi i tretë që njerëzit përziejnë. Ato ishin mënyra më e vjetër për të ekzekutuar kod rrjeti me privilegje, kërkonin miratime të tjera, dhe Apple prej vitesh i largon zhvilluesit prej tyre. Zbatimi i një recete miratimi të shtesës së kernelit në një klient modern humb kohë në një dialog që nuk do të shfaqet kurrë.

Lexoni shënimet e vendosjes të furnizorit për versionin e macOS që përdorni në vend të një postimi forumi nga një version më i hershëm. Arkitektura ndryshoi më shumë se një herë, dhe udhëzimet vjetërohen shpejt. Një shënim që përmend miratimin e shtesës së kernelit përshkruan një epokë tjetër të produktit.

Çfarë ofron Network Extension

Korniza ofron lloje ofruesi për detyrat e zakonshme të rrjetit: një tunel paketash për trafikun VPN, një përfaqësues aplikacioni për rrjedhat për aplikacion, një filtër përmbajtjeje për të inspektuar trafikun dhe trajtimin e përfaqësuesit DNS për sjelljen e zgjidhësit. Lloji i ofruesit përcakton çfarë mund të bëjë shtesa, dhe një klient që shpërndan dy ofrues mund të bëjë dy punë të ndryshme.

Kjo ka rëndësi gjatë diagnostikimit, sepse e njëjta simptomë lidhjeje mund të vijë nga një tunel, një filtër ose një përfaqësues DNS. Bllokimi i një faqeje është vendim filtri, mospasja e një nënrrjeti privat është zakonisht vendim tuneli, dhe zgjidhja e adresës së gabuar është zakonisht vendim zgjidhësi. Emërtimi i llojit të ofruesit e ngushton kërkimin përpara se të lexohet ndonjë regjistër.

Asgjë në kornizë nuk nënkupton një qëndrim privatësie. Një shtesë në hapësirën e përdoruesit ka ende leje, konfigurim dhe një operator pas saj, prandaj trajtojeni arkitekturën si detaj zbatimi dhe jo si sinjal besimi. Pyetni kush e drejton pikën fundore dhe çfarë është konfiguruar të mbledhë.

Çfarë ndryshon System Extensions

Mekanizmi e zhvendos kodin me privilegje nga kernel-i në hapësirën e përdoruesit, dhe ndryshon mënyrën se si sistemi operativ kërkon pëlqim. Aktivizimi është hap i veçantë nga instalimi, dhe përdoruesi ose një profil MDM duhet ta lejojë. Një klient që instalohet por nuk aktivizohet kurrë duket i pranishëm në dosjen Applications dhe nuk bën asgjë për lidhjen.

Gjendja regjistrohet nga sistemi dhe jo nga aplikacioni, gjë që është e dobishme sepse mund të pyetet. Komanda më poshtë liston shtesat që sistemi njeh dhe gjendjen e aktivizimit të tyre.

systemextensionsctl list
scutil --nc list

Komanda e parë përgjigjet nëse komponentja është instaluar dhe aktivizuar. E dyta liston konfigurimet VPN që sistemi mban, që është një pyetje tjetër dhe shpesh ajo që ka rëndësi kur mungon një profil lidhjeje dhe nuk është i prishur.

Cila duhet kontrolluar për një simptomë të caktuar

Përshtatni simptomën me shtresën përpara se të hapni një panel cilësimesh. Konfigurimi që mungon është pyetje profili, komponentja e instaluar por joaktive është pyetje shpërndarjeje, dhe komponentja aktive që nuk e lejon trafikun të kalojë është pyetje aftësie.

Rrjedha e regjistrit është prova e përbashkët për dy rreshtat e fundit. Leximi i nënsistemit të shtesës së rrjetit tregon cili ofrues e trajtoi rrjedhën, dhe një vendim filtri duket ndryshe nga një dështim tuneli edhe kur përdoruesi i përshkruan të dyja si VPN të prishur.

log show --last 10m --predicate 'process == "nesessionmanager"'

Mos konkludoni se një shtesë është aktive sepse ka një ikonë në shiritin e menysë. Ikonat i mbijetojnë aktivizimeve të dështuara, dhe një ikonë e vjetëruar është një nga arsyet më të zakonshme që një telefonatë mbështetjeje nis në vendin e gabuar. Lexoni në vend të kësaj gjendjen e aktivizimit, sepse atë regjistron sistemi.

Miratimi, MDM dhe miti i shtesës së kernelit

Në Mac-të e menaxhuar hapi i miratimit i përket profilit MDM, dhe një përdorues që klikon Allow në System Settings mund të bllokohet ende nga një politikë që nuk është përditësuar. Pyetni ekipin e desktopit cili mekanizëm e miraton shtesën për atë flotë përpara se t'i kërkoni përdoruesit të klikojë diçka.

Në një Mac të pamenaxhuar kërkesa për miratim shfaqet një herë dhe një refuzim mund të jetë i përhershëm derisa shtesa të riinstalohet. Kjo sjellje shpjegon makinën ku klienti punonte përpara një përditësimi të OS dhe tani raporton një lidhje që nuk vendoset kurrë.

Shënoni llojin e ofruesit, gjendjen e aktivizimit dhe mekanizmin e miratimit për klientin që vendosni. Këto tre fakte i përgjigjen shumicës së pyetjeve të ardhshme rreth një VPN për Mac pa rihapur debatin aftësi kundrejt shpërndarje.