Чи ввімкнено розширення VPN на вашому Mac? Три місця для перевірки

Рядок меню повідомляє про підключення, а список розширень досі позначає компонент як неактивований. Обидва показання отримано з того самого Mac, і жодне з них не бреше: вони описують різні факти. macOS зберігає щонайменше три окремі стани для клієнта VPN, а гілки підтримки зводять їх до однієї фрази, тому порада коливається між перевстановленням і переналаштуванням. Розуміння того, якого стану вам насправді бракує, перетворює день здогадів на двохвилинну перевірку.

Ці стани мають різних власників, а не лише різні місця. Один належить реєстру розширень операційної системи, інший політиці, якій підкоряється пристрій, а третій власній сесії клієнта. Оскільки власники різні, виправлення, застосоване до одного з них, рідко змінює два інші.

Три стани, які називають одним словом

Порядок читання важливіший за сам список: почніть із реєстру, бо компонент, який так і не було активовано, не може бути підключеним, потім прочитайте політику, яка вирішує, чи активація взагалі можлива, і насамкінець клієнт, єдиний із трьох, що описує сесію. Невідповідність у верхній частині цього порядку пояснює всі симптоми нижче, а невідповідність унизу залишає два верхні недоторканими.

Конкретний приклад різниці: запис реєстру, що читається як активований, разом із клієнтом, який не може підключитися, вказує на профіль або сервер, а не на розширення. Зворотна комбінація, активований клієнт поруч із реєстром, який нічого не показує, зазвичай означає, що застосунок, на який ви дивитеся, не той, що передає трафік. Запишіть, яку комбінацію ви спостерігали, перш ніж щось чіпати.

Знайти розширення, не довіряючи піктограмі

Поточні випуски перелічують мережеві розширення в розділі «Системні налаштування», «Загальні», «Об'єкти входу та розширення». Знайдіть запис, названий за продуктом або його видавцем, і прочитайте перемикач поруч із ним, а не піктограму в рядку меню. Назви й розташування змінювалися між версіями macOS, тому дотримуйтеся інструкцій постачальника для вашого випуску, а не знімка екрана зі старої статті. Повністю відсутній запис означає, що компонент ніколи не встановлювався, і редагування профілю його не створить.

systemextensionsctl list
log show --last 10m --predicate 'subsystem == "com.apple.networkextension"' --style compact

Перша команда — найшвидший спосіб побачити, що встановлено і чи кожне розширення повідомляє про себе як про активоване. Друга показує, чому активацію відхилено, бо відмова зазвичай надходить як скарга на політику або підпис, яка ніколи не досягає інтерфейсу користувача. Прочитайте текст відмови, перш ніж щось змінювати: рядок журналу називає компонент і часто причину, а це саме те, що потрібно зверненню до підтримки. Копіюйте рядок повністю, а не фразу, яку вважаєте важливою, оскільки версія та ідентифікатор розташовані на протилежних його кінцях.

Що клієнт визнає, а список ні

Коли розширення підтверджено, запитайте клієнт, чи має він профіль і сесію, бо збережений профіль без підключення — це проблема конфігурації, тоді як підключення, що не передає трафік, — проблема маршрутизації або політики. Якщо вважати всі три одним, ви повернетеся до перевстановлення компонента, який працював увесь час.

scutil --nc list
scutil --nc status "Work VPN"

Список показує налаштовані служби та стан їхнього підключення; виклик статусу показує стан однієї названої служби та її останню помилку. Збережіть цей текст і версію macOS перед перевстановленням, бо перевстановлення знищує докази й часто відтворює ту саму несправність.

Коли перемикачем володіє політика

На керованому Mac профіль конфігурації може утримувати розширення в фіксованому стані, і тоді перемикач за задумом стає сірим. Недоступний перемикач — це заява політики, а не помилка, яку треба обійти. Видалення профілю або реєстрації в керуванні, щоб дістатися до нього, змінює безпекову позицію пристрою, відкочується під час наступної перевірки й залишає машину, яка звітує про відповідність, тоді як засоби контролю, що її забезпечували, відсутні. Такий результат гірший за початкову проблему, бо приховує і причину, і симптом.

Віднесіть запит адміністраторові, вказавши ідентифікатор розширення, точний текст відмови та версію. Кероване розгортання зазвичай може централізовано схвалити мережеве розширення за кілька хвилин, що швидше за обхідний шлях і піддається аудиту згодом.

Довести виправлення на справжньому застосунку

Після кожного підтриманого виправлення перепідключіться й перевірте застосунок, для якого існує VPN, а не позначку в рядку меню. Потім переконайтеся, що трафік, який має залишатися поза тунелем, і далі залишається зовні, бо виправлення, яке тихо спрямовує все, — це інша зміна, ніж та, яку ви задумали. Двохвилинна перевірка на справжньому застосунку цінніша за позначку, яку ви не можете відтворити.

Одне застереження, поки ви в цьому списку: фільтр вмісту — це теж мережеве розширення. Коли не працює один сайт, вимкнення кожного розширення на панелі — грубий крок, який ламає не пов'язане з цим фільтрування для інших застосунків і ускладнює наступну діагностику, прибираючи компоненти, які ви порівнювали б. Перш ніж його чіпати, визначте розширення за видавцем і роллю та запишіть, який із трьох станів насправді був неправильним.