Mac VPN клијент: Network Extension наспрам System Extension
Network Extension је могућност, а System Extensions механизам испоруке: раздвојите их да бисте изабрали корак одобрења у macOS-у и дневник који читате.
Два Apple термина користе се као да именују исту ствар, и та забуна шаље људе на погрешан панел подешавања. Network Extension описује могућност: подржан начин за имплементацију VPN тунела, проксија и филтера. System Extensions описује механизам испоруке и одобрења за проширења у корисничком простору. Савременом Mac VPN клијенту обично треба обоје, зато ниједна ознака сама не објашњава симптом. Раздвајање двеју одговара који компонент прегледати и који корак одобрења очекивати.
Два питања, а не једна ознака
Питајте шта компонента ради пре него што питате како се инсталира. Могућност одређује која класа провајдера постоји и зато који код обрађује ваше пакете. Механизам испоруке одређује како пристиже бинарни фајл, како се одобрава и где се бележи његово стање. Производ може да имплементира тунел пакета без испоруке системског проширења на старијим издањима, и може да испоручи системско проширење које имплементира нешто друго осим тунела.
Проширења језгра су трећи термин који људи мешају. Била су старији начин покретања привилегованог мрежног кода, захтевала су другачија одобрења, и Apple годинама усмерава програмере даље од њих. Примена рецепта за одобрење проширења језгра на савремени клијент губи време на дијалогу који се никада неће појавити.
Прочитајте белешке о распоређивању добављача за верзију macOS-а коју користите уместо објаве на форуму из ранијег издања. Архитектура се променила више од једном, и упутства брзо старе. Белешка која помиње одобрење проширења језгра описује другу еру производа.
Шта Network Extension пружа
Оквир пружа типове провајдера за уобичајене мрежне задатке: тунел пакета за VPN саобраћај, прокси апликација за токове по апликацији, филтер садржаја за преглед саобраћаја и руковање DNS проксијем за понашање резолвера. Тип провајдера одређује шта проширење може да ради, и клијент који испоручује два провајдера може да обавља два различита посла.
То је важно током дијагностике јер исти симптом повезивања може доћи од тунела, филтера или DNS проксија. Блокирање веб-сајта је одлука филтера, немогућност доласка до приватне подмреже обично је одлука тунела, а решавање погрешне адресе обично је одлука резолвера. Именовање типа провајдера сужава претрагу пре читања било ког дневника.
Ништа у оквиру не подразумева став о приватности. Проширење у корисничком простору и даље има дозволе, конфигурацију и оператера иза себе, зато третирајте архитектуру као детаљ имплементације, а не као сигнал поверења. Питајте ко управља крајњом тачком и шта је конфигурисано да прикупља.
Шта System Extensions мења
Механизам премешта привилеговани код из језгра у кориснички простор и мења како оперативни систем тражи сагласност. Активација је одвојен корак од инсталације, и корисник или MDM профил мора то да дозволи. Клијент који се инсталира, али никада не активира изгледа присутно у фасцикли Applications и не чини ништа за повезивање.
Стање бележи систем, а не апликација, што је корисно јер може да се упита. Команда испод наводи проширења која систем зна и њихово стање активације.
systemextensionsctl list
scutil --nc listПрва команда одговара да ли је компонента инсталирана и активирана. Друга наводи VPN конфигурације које систем држи, што је друго питање и често оно које је важно када профил везе недостаје, а није покварен.
Шта прегледати за дати симптом
Ускладите симптом са слојем пре отварања панела подешавања. Конфигурација која недостаје је питање профила, инсталирана али неактивна компонента је питање испоруке, а активна компонента која не може да пропусти саобраћај је питање могућности.
| Symptom | First place to look |
|---|---|
| No VPN entry at all | Configuration profile or scutil list |
| Client installed, nothing happens | Extension activation state |
| Tunnel up, private host unreachable | Tunnel provider routes and policy |
| One app blocked, others fine | Filter or app proxy provider |
Ток дневника је заједнички доказ за последња два реда. Читање подсистема мрежног проширења каже који провајдер је обрадио ток, а одлука филтера изгледа другачије од отказа тунела чак и када корисник оба описује као покварен VPN.
log show --last 10m --predicate 'process == "nesessionmanager"'Не закључујте да је проширење активно зато што постоји икона у траци менија. Иконе преживљавају неуспеле активације, а застарела икона је један од најчешћих разлога зашто позив подршци почиње на погрешном месту. Читајте уместо тога стање активације, јер то систем бележи.
Одобрење, MDM и мит о проширењу језгра
На управљаним Mac рачунарима корак одобрења припада MDM профилу, и корисник који кликне Allow у System Settings може и даље бити блокиран политиком која није ажурирана. Питајте тим за радне површине који механизам одобрава проширење за ту флоту пре него што затражите од корисника да било шта кликне.
На неуправљаном Mac-у захтев за одобрење се појављује једном и одбијање може бити трајно док се проширење не реинсталира. То понашање објашњава машину на којој је клијент радио пре надоградње ОС-а, а сада пријављује везу која се никада не успоставља.
Запишите тип провајдера, стање активације и механизам одобрења за клијента који распоређујете. Те три чињенице одговарају на већину будућих питања о Mac VPN-у без поновног отварања расправе могућност наспрам испоруке.