Qué es la aprobación de extensiones de red de macOS

Cualquier programa que quiera crear un adaptador de red virtual en macOS y desviar el tráfico del sistema por su propio túnel tiene que pedir esa capacidad a través del marco NetworkExtension de Apple, un mecanismo obligatorio desde macOS 10.15 Catalina que sustituyó a las antiguas extensiones del kernel (kexts), con muchos más privilegios.

El marco tiene dos partes: la app incluye un fragmento de código pensado para ejecutarse con privilegios elevados del sistema, y el sistema muestra un aviso de confirmación; solo cuando tú pulsas Permitir se carga ese código y empieza a gestionar el tráfico. Si te saltas este paso, la extensión se queda “pendiente”, y por eso el icono del cliente sigue mostrando “conectando” indefinidamente sin llegar a conectar.

• Todo lo que puede crear un adaptador virtual y hacerse cargo del tráfico podría, en teoría, ver todos tus datos de red sin cifrar y redirigirlos sin que lo notes: justo la capacidad que más desea un programa espía. Apple pasó de “funciona en cuanto se instala” a “requiere un clic manual en Ajustes del Sistema” precisamente para que nada obtenga esta capacidad sin que lo sepas.
• Este aviso solo aparece la **primera vez**: una vez aprobado un cliente, ni las conexiones normales ni los reinicios vuelven a mostrarlo. Reaparece si reinstalas el sistema, instalas una copia nueva del cliente o desactivas tú mismo la aprobación en Ajustes del Sistema.
• Cada uno de los tres clientes tiene que pasar este control por separado: el sistema registra la aprobación por cada programa que la solicita, no como un interruptor global. No es un diseño redundante; es el nivel de detalle real de la comprobación.

En Sequoia, Apple unió las pantallas de gestión de “Ítems de inicio” y de “Extensiones”. Las extensiones de red se encuentran ahora en la vista por categorías de esta nueva pantalla, en lugar de aparecer una por una.

1. Abre Ajustes del Sistema → General → Ítems de inicio y extensiones.
2. Baja hasta la sección “Extensiones”, al final, y cambia la vista de la esquina superior derecha de la predeterminada a “Por categoría”; si no lo haces, las extensiones de red quedan enterradas en una lista larga junto a decenas de extensiones del sistema.
3. Con la vista en “Por categoría”, busca la categoría “Extensiones de red” y pulsa la ⓘ que tiene al lado para desplegarla.
4. Busca el cliente que usas (Tailscale / Cisco Secure Client / Hiddify) y activa el interruptor que tiene al lado.
5. macOS te pedirá la contraseña de inicio de sesión o la confirmación con Touch ID; este paso confirma que quien concede la aprobación es la persona sentada delante del equipo y no el propio cliente.
6. Tras confirmarlo, el interruptor queda activado. Vuelve al cliente y conecta de nuevo: esta vez el túnel debería establecerse con normalidad.

Estas dos versiones usan el acceso antiguo; el aviso y los textos de Ajustes del Sistema son distintos de los de Sequoia. Sigue esta ruta.

1. Abre el cliente normalmente y pulsa Conectar una vez: el sistema solo muestra el aviso tras un intento de conexión real, no por tener la app instalada.
2. Aparece una notificación del sistema con un título parecido a “Extensión del sistema bloqueada”. Puedes cerrarla o ignorarla; el siguiente paso es ir tú mismo al ajuste.
3. Abre Ajustes del Sistema → Privacidad y seguridad y baja (no está arriba, suele estar hacia la mitad de la página) hasta ver una línea que dice “Se ha bloqueado la carga del software del sistema del desarrollador ‘<nombre del desarrollador del cliente>’”.
4. Pulsa Permitir junto a esa línea; macOS te pedirá la contraseña de inicio de sesión para confirmarlo.
5. Vuelve al cliente y conecta de nuevo: esta vez el túnel debería establecerse con normalidad.

En Ventura / Sonoma, el nombre entre comillas que sigue a “desarrollador” es distinto para cada cliente. Compáralo con el que estás instalando y no pulses Permitir si el nombre no es el que esperas:

• Privada (Tailscale): aparece como “Tailscale Inc.”, comprobado en un dispositivo real.
• Cisco (Cisco Secure Client): debería aparecer como “Cisco Systems, Inc.”, aún sin confirmar.
• Hiddify: debería aparecer como “Hiddify Team”, también sin confirmar.

• “No encuentro la línea que debería aparecer en Ajustes del Sistema”: asegúrate de haber abierto el cliente y pulsado Conectar una vez, como se explica arriba; el sistema solo muestra esta línea cuando recibe una solicitud de carga real de la extensión. Tener la app instalada pero sin abrirla nunca no la hace aparecer.
• “Pulsé No permitir sin querer / cerré la notificación”: no hace falta buscar un botón para deshacerlo; vuelve al cliente y pulsa Conectar otra vez. El sistema mostrará el mismo aviso y podrás seguir los pasos anteriores; cerrarlo una vez no te bloquea para siempre.
• “En un Mac de la empresa, el botón Permitir está en gris”: suele deberse a una política de MDM (gestión de dispositivos) que bloquea el ajuste, y solo un administrador de TI puede aprobarlo desde su consola. Pide al departamento de TI que añada el cliente a la lista de extensiones del sistema aprobadas.
• “Instalé dos de los tres clientes, pero solo uno pidió aprobación”: probablemente el otro aún no se ha abierto ni conectado; mira el primer punto de esta lista.