iMessage не оновлюється через VPN на Mac: перевірки по порядку

Якщо Messages перестає синхронізуватися, а Safari все ще завантажує сторінки, VPN — імовірна причина, але не доведена. iMessage залежить від Apple Push Notification service разом із службами ідентифікації Apple, а тунель може змінити маршрут, resolver або перевірку, що застосовується до цих з'єднань, не торкаючись веб-трафіку. Один заблокований порт рідко пояснює все, тому перевірки нижче йдуть від Mac назовні. Зупиніться на першому невдалому кроці й виправте його, перш ніж змінювати щось інше.

Спершу зафіксуйте симптом. Помилка входу, повідомлення, яке ніколи не надсилається, повідомлення, яке ніколи не надходить, і вкладення, яке не завантажується, — це чотири різні проблеми, які просто ділять один застосунок. Запишіть, яка саме у вас, який профіль VPN був активний і версію клієнта; цей запис пізніше знадобиться й власнику мережі.

Перевірка 1: що маршрутизує тунель і яке охоплення має

Спочатку подивіться на профіль, а не на застосунок. Повний тунель надсилає весь трафік через VPN, розділений тунель надсилає лише перелічені підмережі, а тунель для окремих застосунків включає лише вибрані застосунки. Якщо Messages поза включеним набором, він використовує фізичний інтерфейс, і VPN не може бути причиною. scutil --nc list показує служби, якими керує конфігурація, netstat -rn -f inet показує, куди вказує маршрут за замовчуванням, а подання профілю клієнта показує, чи охоплення базується на застосунках.

Умова проходження: маршрут за замовчуванням або включення за застосунком справді охоплює Messages, а профіль, який ви тестуєте, — той, що застосовується зараз. Якщо ні, зупиніться й перевірте клієнт або ОС, а не мережу.

Перевірка 2: політика resolver і перевірка

Служби push і облікового запису розв'язують імена, які часто відрізняються від тих, що використовує ваш браузер, а розділений DNS може надіслати ці запити в неочікуване місце. scutil --dns перелічує resolver за доменом; порівняйте resolver, який використовується для доменів Apple, з тим, якого ви очікуєте. Resolver, що відповідає внутрішньою адресою або взагалі відхиляє запит, ламає службу ще до того, як хоч один пакет дістанеться Apple.

Потім перевірте, чи інспектує тунель TLS. Мережеві вимоги Apple зазначають, що перелічені служби не розраховані на перехоплення HTTPS, а пристрій, який завершує ці з'єднання, може залишити вебперегляд недоторканим, поки обмін повідомленнями тихо збоїть. Якщо інспекція охоплює все, виключіть відповідні категорії служб Apple і повторіть тест, замість того щоб вимикати інспекцію глобально.

Перевірка 3: транспорт APNs, включно з 443

З'єднання пристроїв з APNs використовують TCP 5223, а TCP 443 застосовується для активації та резервного шляху в підтримуваних ситуаціях. Обидва — вихідні з'єднання, ініційовані пристроєм. Вхідний порт на маршрутизаторі не потрібен, а його публікація на Mac відкриває службу, не допомагаючи клієнту, який усе одно не дістається Apple.

Умова проходження: нове повідомлення з Mac доходить до одержувача в іншій мережі, і його відповідь надходить, а той самий профіль ще активний. Надішліть одне неконфіденційне повідомлення й дочекайтеся однієї відповіді, а не пакета, щоб частковий успіх усе ж показав, який напрямок не спрацював. Якщо надсилання працює, а вкладення застрягають, транспорт, імовірно, гаразд, і перевіряти треба вужчий шлях.

Перевірка 4: стан облікового запису до його скидання

Помилка активації або входу належить до рівня облікового запису, а не тунелю. Переконайтеся, що дата й час на Mac правильні, що Apple ID виконано вхід і чи не чекає запит підтвердження на іншому пристрої. Очікуване схвалення двофакторної автентифікації виглядає з вікна Messages точно як збій з'єднання.

Опирайтеся інстинкту скидання. Вихід і повторний вхід або скидання облікового запису відкидають стан, який показав би, де саме збій, а на керованому Mac це може запустити кроки реєстрації, які ви не скасуєте самі. Пройдіть повторну автентифікацію один раз і лише після того, як перевірки транспорту пройдено, а обліковий запис залишився єдиним підозрюваним.

Що передати власнику мережі

Якщо перевірки вказують на тунель, корисний звіт короткий: модель Mac і версія macOS, ім'я та версія клієнта, ім'я профілю, часове вікно, який напрямок не спрацював і яке спостереження за маршрутом або resolver розійшлося. Не включайте вміст повідомлень і знімки екрана розмов.

Попросіть застосовувати політику на справжній межі фільтрації. Чинні мережеві вимоги Apple для підприємств перелічують хости й умови транспорту для кожної служби, тож власник може зіставити їх із набором правил, а не відкривати порт і сподіватися. Після кожної зміни повторюйте тест одним повідомленням; дві змінні одразу дають результат, який не прочитати.