O que é a aprovação de extensão de rede do macOS

Qualquer programa que queira criar um adaptador de rede virtual no macOS e passar o tráfego do sistema pelo próprio túnel precisa pedir essa capacidade pelo framework NetworkExtension da Apple — um mecanismo que a Apple exige desde o macOS 10.15 Catalina, no lugar das antigas extensões de kernel (kexts), que tinham muito mais privilégios.

O framework tem duas metades: o aplicativo traz um trecho de código feito para rodar com privilégios elevados do sistema, e o sistema mostra um pedido de confirmação — só depois que você mesmo clica em Permitir esse código é carregado e começa a cuidar do tráfego. Se essa etapa for pulada, a extensão fica “pendente”, e é por isso que o ícone do cliente fica mostrando “conectando” para sempre sem nunca conseguir.

• Tudo o que consegue criar um adaptador virtual e assumir o tráfego pode, em teoria, ver todos os seus dados de rede não criptografados e redirecioná-los em silêncio — exatamente a capacidade que um programa espião mais quer. A Apple trocou o “funciona assim que é instalado” por “exige um clique manual nos Ajustes do Sistema” justamente para que nada ganhe essa capacidade sem você saber.
• Esse pedido só aparece **na primeira vez**: depois que um cliente é aprovado, as conexões normais e as reinicializações não voltam a acioná-lo. Ele reaparece se você reinstalar o sistema, instalar uma cópia nova do cliente ou desativar a aprovação por conta própria nos Ajustes do Sistema.
• Cada um dos três clientes precisa passar por essa barreira separadamente — o sistema registra a aprovação por programa que a solicita, não como um botão geral. Não é exagero de design; é a granularidade real da verificação.

No Sequoia, a Apple juntou as telas de “Itens de Início” e de “Extensões”. As extensões de rede agora ficam na visualização por categoria dessa nova tela, em vez de aparecerem uma por uma.

1. Abra Ajustes do Sistema → Geral → Itens de Início e Extensões.
2. Role até a seção “Extensões”, no final, e mude a visualização no canto superior direito do padrão para “Por Categoria” — sem isso, as extensões de rede ficam escondidas numa lista longa com dezenas de outras extensões do sistema.
3. Com a visualização em “Por Categoria”, encontre a categoria “Extensões de Rede” e clique no ⓘ ao lado para abri-la.
4. Encontre o cliente que você está usando (Tailscale / Cisco Secure Client / Hiddify) e ative o botão ao lado dele.
5. O macOS vai pedir a sua senha de login ou a confirmação pelo Touch ID — essa etapa confirma que é a pessoa diante do computador que está dando a aprovação, e não o próprio cliente.
6. Depois de confirmar, o botão fica ativado. Volte ao cliente e conecte de novo — desta vez o túnel deve subir normalmente.

Essas duas versões usam o caminho antigo; o alerta e o texto nos Ajustes do Sistema são diferentes dos do Sequoia. Siga este caminho.

1. Abra o cliente normalmente e clique em Conectar uma vez — o sistema só mostra o pedido depois de uma tentativa real de conexão, não só por ter o aplicativo instalado.
2. Aparece uma notificação do sistema com um título parecido com “Extensão do Sistema Bloqueada”. Você pode fechá-la ou ignorá-la; o próximo passo é ir atrás da configuração você mesmo.
3. Abra Ajustes do Sistema → Privacidade e Segurança e role para baixo (não fica no topo — normalmente está no meio da página) até ver uma linha dizendo “O carregamento do software do sistema do desenvolvedor '<nome do desenvolvedor do cliente>' foi bloqueado”.
4. Clique em Permitir ao lado dessa linha; o macOS vai pedir a sua senha de login para confirmar.
5. Volte ao cliente e conecte de novo — desta vez o túnel deve subir normalmente.

No Ventura / Sonoma, o nome entre aspas depois de “desenvolvedor” é diferente para cada cliente — confira com o que você está realmente instalando; se o nome não for o esperado, não clique em Permitir:

• Rede privada (Tailscale): aparece como “Tailscale Inc.” — confirmado num aparelho real.
• Cisco (Cisco Secure Client): deve aparecer como “Cisco Systems, Inc.”, também ainda não confirmado.
• Hiddify: deve aparecer como “Hiddify Team”, também ainda não confirmado.

• “Não encontro a linha que deveria aparecer nos Ajustes do Sistema”: confirme que você realmente abriu o cliente e clicou em Conectar uma vez, como explicado acima — o sistema só mostra essa linha depois de receber um pedido real de carregamento da extensão. Ter o aplicativo instalado sem nunca abri-lo não faz a linha aparecer.
• “Cliquei sem querer em Não Permitir / fechei a notificação”: não precisa procurar um botão de desfazer — é só voltar ao cliente e clicar em Conectar de novo. O sistema mostra o mesmo pedido outra vez e você segue os passos acima; fechar uma vez não bloqueia você para sempre.
• “No Mac da empresa, o botão Permitir está acinzentado”: normalmente é uma política de MDM (gerenciamento de dispositivos) travando a configuração — só um administrador de TI pode aprovar pelo painel dele. Peça à TI para incluir o cliente na lista de extensões do sistema aprovadas.
• “Instalei dois dos três clientes, mas só um pediu aprovação”: provavelmente o outro ainda não foi aberto nem conectado — veja o primeiro item acima.