ส่วนขยาย VPN บน Mac ของคุณเปิดใช้งานอยู่หรือไม่? สามจุดที่ควรตรวจ
เปิดใช้งาน ติดตั้ง และเชื่อมต่อเป็นสถานะที่ต่างกันบน macOS เปรียบเทียบรายการส่วนขยาย ผลลัพธ์ของ CLI และสถานะของไคลเอนต์เองก่อนติดตั้งใหม่
แถบเมนูรายงานว่าเชื่อมต่อแล้ว ขณะที่รายการส่วนขยายยังคงทำเครื่องหมายว่าส่วนประกอบยังไม่ได้เปิดใช้งาน การอ่านทั้งสองมาจาก Mac เครื่องเดียวกัน และทั้งคู่ไม่ได้โกหก เพราะมันอธิบายข้อเท็จจริงคนละอย่าง macOS เก็บสถานะแยกกันอย่างน้อยสามสถานะสำหรับไคลเอนต์ VPN และกระทู้ช่วยเหลือมักรวมทั้งสามเข้าด้วยกันเป็นวลีเดียว นั่นจึงเป็นเหตุผลที่คำแนะนำสลับไปมาระหว่างการติดตั้งใหม่กับการตั้งค่าใหม่ การรู้ว่าคุณขาดสถานะไหนจริง ๆ จะเปลี่ยนบ่ายที่ต้องเดาให้เป็นการตรวจสองนาที
สถานะเหล่านี้มีเจ้าของต่างกัน ไม่ใช่แค่ตำแหน่งต่างกัน หนึ่งเป็นของทะเบียนส่วนขยายของระบบปฏิบัติการ หนึ่งเป็นของนโยบายที่อุปกรณ์ปฏิบัติตาม และอีกหนึ่งเป็นของเซสชันของไคลเอนต์เอง เนื่องจากเจ้าของต่างกัน การแก้ไขที่ใช้กับสถานะหนึ่งจึงแทบไม่เปลี่ยนอีกสองสถานะ
สามสถานะที่ถูกเรียกด้วยชื่อเดียว
| State | Where it lives | What it does not prove |
|---|---|---|
| installed and activated | the system extension registry | that any tunnel exists |
| permitted by policy | a configuration profile or a one-time user approval | that the vendor's profile is configured |
| connected | the client's own session state | that traffic takes the intended route |
ลำดับที่คุณอ่านสำคัญกว่ารายการเอง เริ่มจากทะเบียน เพราะส่วนประกอบที่ไม่เคยเปิดใช้งานจะเชื่อมต่อไม่ได้ จากนั้นอ่านนโยบายซึ่งตัดสินว่าการเปิดใช้งานเป็นไปได้หรือไม่ และสุดท้ายอ่านไคลเอนต์ซึ่งเป็นเพียงตัวเดียวในสามตัวที่อธิบายเซสชัน ความไม่ตรงกันที่อยู่สูงในลำดับนี้อธิบายอาการทั้งหมดที่อยู่ใต้ลงมา ส่วนความไม่ตรงกันที่อยู่ต่ำจะปล่อยสองตัวบนไว้ไม่เสียหาย
ตัวอย่างที่เป็นรูปธรรมของความแตกต่าง รายการในทะเบียนที่อ่านว่าเปิดใช้งานแล้วคู่กับไคลเอนต์ที่เชื่อมต่อไม่ได้ชี้ไปที่โปรไฟล์หรือเซิร์ฟเวอร์ ไม่ใช่ที่ส่วนขยาย การผสมแบบกลับกัน คือไคลเอนต์ที่เปิดใช้งานอยู่ข้างทะเบียนที่ไม่แสดงอะไรเลย มักหมายความว่าแอปที่คุณกำลังดูอยู่ไม่ใช่ตัวที่รับส่งข้อมูล จดบันทึกว่าคุณเห็นการผสมแบบไหนก่อนจะแตะอะไร
ค้นหาส่วนขยายโดยไม่เชื่อไอคอน
รุ่นปัจจุบันแสดงส่วนขยายเครือข่ายไว้ใต้การตั้งค่าระบบ ทั่วไป รายการเข้าสู่ระบบ และส่วนขยาย ค้นหารายการที่ตั้งชื่อตามผลิตภัณฑ์หรือผู้เผยแพร่ แล้วอ่านสวิตช์ข้าง ๆ แทนไอคอนบนแถบเมนู ป้ายและตำแหน่งเปลี่ยนไประหว่างเวอร์ชัน macOS ดังนั้นให้ทำตามคำแนะนำของผู้จำหน่ายสำหรับรุ่นของคุณ ไม่ใช่ภาพหน้าจอจากบทความเก่า รายการที่หายไปทั้งหมดหมายความว่าส่วนประกอบไม่เคยถูกติดตั้ง และการแก้ไขโปรไฟล์จะไม่ทำให้มันปรากฏ
systemextensionsctl list
log show --last 10m --predicate 'subsystem == "com.apple.networkextension"' --style compactคำสั่งแรกเป็นวิธีที่เร็วที่สุดในการดูว่ามีอะไรติดตั้งอยู่และแต่ละส่วนขยายรายงานว่าตัวเองเปิดใช้งานหรือไม่ คำสั่งที่สองแสดงว่าการเปิดใช้งานถูกปฏิเสธเพราะอะไร เนื่องจากการปฏิเสธมักมาในรูปข้อร้องเรียนเรื่องนโยบายหรือลายเซ็นที่ไม่เคยไปถึงส่วนติดต่อผู้ใช้ อ่านข้อความการปฏิเสธก่อนเปลี่ยนแปลงอะไร เพราะบรรทัดล็อกระบุชื่อส่วนประกอบและมักระบุเหตุผล ซึ่งเป็นสิ่งที่เคสสนับสนุนต้องการพอดี คัดลอกทั้งบรรทัดแทนวลีที่คุณคิดว่าสำคัญ เพราะเวอร์ชันและตัวระบุอยู่คนละปลายของบรรทัด
สิ่งที่ไคลเอนต์ยอมรับและรายการไม่ยอมรับ
เมื่อยืนยันส่วนขยายได้แล้ว ให้ถามไคลเอนต์ว่ามีโปรไฟล์และเซสชันหรือไม่ เพราะโปรไฟล์ที่บันทึกไว้โดยไม่มีการเชื่อมต่อคือปัญหาเรื่องการกำหนดค่า ขณะที่การเชื่อมต่อที่ไม่รับส่งข้อมูลคือปัญหาเรื่องเส้นทางหรือนโยบาย การมองทั้งสามเป็นเรื่องเดียวกันจะส่งคุณกลับไปติดตั้งส่วนประกอบที่ทำงานได้ตลอดเวลาใหม่
scutil --nc list
scutil --nc status "Work VPN"รายการแสดงบริการที่กำหนดค่าไว้และสถานะการเชื่อมต่อ ส่วนการเรียกสถานะแสดงสถานะของบริการหนึ่งที่ระบุชื่อและข้อผิดพลาดล่าสุด บันทึกข้อความนั้นและเวอร์ชัน macOS ก่อนติดตั้งใหม่ เพราะการติดตั้งใหม่จะทำลายหลักฐานและมักทำให้เกิดความล้มเหลวเดิมซ้ำ
เมื่อนโยบายเป็นเจ้าของสวิตช์
บน Mac ที่มีการจัดการ โปรไฟล์การกำหนดค่าสามารถตรึงส่วนขยายไว้ในสถานะคงที่ และสวิตช์จะกลายเป็นสีเทาตามการออกแบบ สวิตช์ที่ใช้ไม่ได้คือถ้อยแถลงเชิงนโยบาย ไม่ใช่บั๊กที่ต้องหลบเลี่ยง การลบโปรไฟล์หรือการลงทะเบียนการจัดการเพื่อเข้าถึงมันจะเปลี่ยนท่าทีความปลอดภัยของอุปกรณ์ ถูกย้อนกลับในการเช็กอินครั้งถัดไป และทิ้งเครื่องที่รายงานว่าตนเองเป็นไปตามข้อกำหนดในขณะที่การควบคุมที่ทำให้เป็นเช่นนั้นหายไป ผลลัพธ์นั้นแย่กว่าปัญหาเดิม เพราะมันซ่อนทั้งสาเหตุและอาการ
นำคำขอไปยังผู้ดูแลระบบพร้อมตัวระบุส่วนขยาย ข้อความการปฏิเสธที่ตรงตามจริง และเวอร์ชัน การติดตั้งใช้งานแบบจัดการมักอนุมัติส่วนขยายเครือข่ายจากศูนย์กลางได้ภายในไม่กี่นาที ซึ่งเร็วกว่าวิธีเลี่ยงและตรวจสอบย้อนหลังได้
พิสูจน์การแก้ไขบนแอปพลิเคชันจริง
หลังการแก้ไขที่รองรับใด ๆ ให้เชื่อมต่อใหม่และทดสอบแอปพลิเคชันที่ VPN มีไว้เพื่อมัน แทนที่จะดูตราบนแถบเมนู จากนั้นยืนยันว่าทราฟฟิกที่ควรอยู่นอกอุโมงค์ยังคงอยู่นอก เพราะการแก้ไขที่เปลี่ยนเส้นทางทุกอย่างอย่างเงียบ ๆ เป็นการเปลี่ยนแปลงที่ต่างจากที่คุณตั้งใจ การทดสอบสองนาทีบนแอปจริงมีค่ามากกว่าตราที่คุณไม่สามารถทำซ้ำได้
ข้อควรระวังหนึ่งข้อขณะอยู่ในรายการนั้น ตัวกรองเนื้อหาก็เป็นส่วนขยายเครือข่ายเช่นกัน เมื่อไซต์เดียวล้มเหลว การปิดส่วนขยายทุกตัวในแผงเป็นการกระทำที่หยาบซึ่งทำให้การกรองที่ไม่เกี่ยวข้องของแอปอื่นเสียหาย และทำให้การวินิจฉัยครั้งถัดไปยากขึ้นเพราะคุณได้เอาส่วนประกอบที่คุณจะเปรียบเทียบออกไป ระบุส่วนขยายตามผู้เผยแพร่และบทบาทก่อนแตะมัน และจดบันทึกว่าสถานะใดในสามสถานะที่ผิดจริง