Kliyente ng VPN sa Mac: Network Extension laban sa System Extension

Dalawang termino ng Apple ang ginagamit na parang iisa ang tinutukoy, at ang kalituhang iyon ay nagdadala ng mga tao sa maling panel ng mga setting. Inilalarawan ng Network Extension ang isang kakayahan: isang suportadong paraan upang ipatupad ang mga tunnel ng VPN, proxy at filter. Inilalarawan ng System Extensions ang mekanismo ng paghahatid at pag-apruba para sa mga extension sa espasyo ng user. Karaniwang kailangan ng modernong kliyente ng VPN sa Mac ang dalawa, kaya walang isang label ang nakapagpapaliwanag nang mag-isa sa isang sintomas. Ang paghiwalay sa dalawa ay sumasagot kung aling bahagi ang susuriin at aling hakbang ng pag-apruba ang aasahan.

Dalawang tanong, hindi isang label

Itanong kung ano ang ginagawa ng bahagi bago itanong kung paano ito ini-install. Ang kakayahan ang nagtatakda kung aling klase ng provider ang umiiral at dahil dito kung aling code ang humahawak sa iyong mga packet. Ang mekanismo ng paghahatid ang nagtatakda kung paano dumarating ang binary, paano ito inaaprubahan at saan naitala ang estado nito. Maaaring magpatupad ang isang produkto ng tunnel ng packet nang hindi naghahatid ng system extension sa mas lumang mga release, at makapaghahatid ito ng system extension na nagpapatupad ng iba pa sa tunnel.

Ang mga kernel extension ang ikatlong termino na pinaghahalo ng mga tao. Ito ang lumang paraan ng pagpapatakbo ng privileged na code ng network, kailangan nila ng ibang mga pag-apruba, at ilang taon nang inilalayo ng Apple ang mga developer mula sa kanila. Ang paglalapat ng recipe ng pag-apruba ng kernel extension sa isang modernong kliyente ay nagsasayang ng oras sa isang dialog na hindi kailanman lalabas.

Basahin ang mga tala ng deployment ng vendor para sa bersyon ng macOS na ginagamit mo sa halip na isang post sa forum mula sa mas naunang release. Nagbago ang arkitektura nang higit sa isang beses, at mabilis na naluluma ang mga tagubilin. Ang isang tala na nagbabanggit ng pag-apruba ng kernel extension ay naglalarawan ng ibang panahon ng produkto.

Ano ang ibinibigay ng Network Extension

Nagbibigay ang framework ng mga uri ng provider para sa karaniwang gawain sa network: isang tunnel ng packet para sa trapiko ng VPN, isang proxy ng app para sa mga daloy bawat application, isang filter ng nilalaman upang siyasatin ang trapiko at paghawak ng proxy ng DNS para sa pag-uugali ng resolver. Ang uri ng provider ang nagtatakda kung ano ang magagawa ng extension, at ang kliyenteng naghahatid ng dalawang provider ay maaaring gumagawa ng dalawang magkaibang trabaho.

Mahalaga ito sa diagnosis dahil ang parehong sintomas ng koneksyon ay maaaring magmula sa isang tunnel, isang filter o isang proxy ng DNS. Ang pagharang sa isang website ay desisyon ng filter, ang hindi pag-abot sa isang pribadong subnet ay karaniwang desisyon ng tunnel, at ang paglutas sa maling address ay karaniwang desisyon ng resolver. Ang pagpangalan sa uri ng provider ay nagpapaliit sa paghahanap bago basahin ang anumang log.

Wala sa framework ang nagpapahiwatig ng paninindigan sa privacy. Ang isang extension sa espasyo ng user ay may mga pahintulot, configuration at operator pa rin sa likod nito, kaya ituring ang arkitektura bilang detalye ng pagpapatupad at hindi bilang senyales ng tiwala. Itanong kung sino ang nagpapatakbo sa endpoint at ano ang naka-configure nitong kolektahin.

Ano ang binabago ng System Extensions

Inililipat ng mekanismo ang privileged na code palabas ng kernel at papasok sa espasyo ng user, at binabago nito kung paano humihingi ng pahintulot ang operating system. Ang activation ay hiwalay na hakbang mula sa installation, at dapat itong payagan ng user o ng isang profile ng MDM. Isang kliyenteng nag-i-install ngunit hindi kailanman nag-a-activate ay mukhang naroroon sa folder na Applications at walang ginagawa para sa koneksyon.

Ang estado ay itinatala ng system at hindi ng app, na kapaki-pakinabang dahil maaari itong tanungin. Inililista ng command sa ibaba ang mga extension na alam ng system at ang kanilang estado ng activation.

systemextensionsctl list
scutil --nc list

Sinasagot ng unang command kung naka-install at naka-activate ang bahagi. Inililista ng pangalawa ang mga configuration ng VPN na hawak ng system, na ibang tanong at kadalasan ang mahalaga kapag nawawala ang profile ng koneksyon sa halip na sira.

Alin ang susuriin para sa isang partikular na sintomas

Itugma ang sintomas sa layer bago magbukas ng panel ng mga setting. Ang nawawalang configuration ay tanong sa profile, ang naka-install ngunit hindi aktibong bahagi ay tanong sa paghahatid, at ang aktibong bahagi na hindi makapagpadala ng trapiko ay tanong sa kakayahan.

Ang stream ng log ang shared na ebidensya para sa huling dalawang hilera. Ang pagbasa sa subsystem ng network extension ay nagsasabi kung aling provider ang humawak sa daloy, at ang desisyon ng filter ay mukhang iba sa pagkabigo ng tunnel kahit inilalarawan ng user ang dalawa bilang sirang VPN.

log show --last 10m --predicate 'process == "nesessionmanager"'

Huwag maghinuha na aktibo ang isang extension dahil may icon sa menu bar. Nabubuhay ang mga icon pagkatapos ng nabigong activation, at ang lumang icon ay isa sa mga pinakakaraniwang dahilan kung bakit nagsisimula sa maling lugar ang isang tawag sa suporta. Basahin sa halip ang estado ng activation, dahil iyon ang itinatala ng system.

Pag-apruba, MDM at ang mito ng kernel extension

Sa mga pinamamahalaang Mac, ang hakbang ng pag-apruba ay pag-aari ng profile ng MDM, at ang user na nag-click sa Allow sa System Settings ay maaari pa ring harangan ng patakarang hindi na-update. Itanong sa desktop team kung aling mekanismo ang nag-aapruba sa extension para sa fleet na iyon bago hilingin sa user na mag-click ng kahit ano.

Sa isang Mac na hindi pinamamahalaan, ang prompt ng pag-apruba ay lumalabas nang isang beses at ang pagtanggi ay maaaring permanente hanggang muling mai-install ang extension. Ipinapaliwanag ng pag-uugaling iyon ang makina kung saan gumana ang kliyente bago ang isang upgrade ng OS at ngayon ay nag-uulat ng koneksyong hindi kailanman naitatag.

Isulat ang uri ng provider, estado ng activation at mekanismo ng pag-apruba para sa kliyenteng ide-deploy mo. Sinasagot ng tatlong katotohanang iyon ang karamihan sa mga tanong sa hinaharap tungkol sa VPN sa Mac nang hindi muling binubuksan ang debate ng kakayahan laban sa paghahatid.