Что такое разрешение сетевого расширения в macOS

Любая программа, которая хочет создать на macOS виртуальный сетевой адаптер и пустить системный трафик через свой туннель, должна запросить эту возможность через фреймворк Apple NetworkExtension. Apple требует этого начиная с macOS 10.15 Catalina — он заменил старые расширения ядра (kext), у которых было гораздо больше привилегий.

У фреймворка две половины: программа содержит фрагмент кода, который должен работать с повышенными системными привилегиями, а система показывает запрос на подтверждение — и только после того, как вы лично нажмёте «Разрешить», этот код действительно загружается и начинает обрабатывать трафик. Пропустите этот шаг — и расширение так и останется «в ожидании», поэтому значок клиента бесконечно показывает «подключение» и никогда не подключается.

• Всё, что может создать виртуальный адаптер и перехватить трафик, теоретически может видеть все ваши незашифрованные сетевые данные и незаметно перенаправлять их — ровно та возможность, которая больше всего нужна шпионским программам. Apple поменяла схему с «работает сразу после установки» на «требует ручного нажатия в Системных настройках» именно для того, чтобы никто не мог получить эту возможность без вашего ведома.
• Этот запрос появляется только **в первый раз**: после того как конкретный клиент одобрен, обычные подключения и перезагрузки его больше не вызывают. Он вернётся, если вы переустановите систему, поставите клиент заново или сами отключите разрешение в Системных настройках.
• Каждый из трёх клиентов проходит этот барьер отдельно — система учитывает разрешения для каждой программы, а не одним общим переключателем. Это не лишняя сложность, а реальная детализация проверки.

В Sequoia Apple объединила экраны «Объекты входа» и «Расширения». Сетевые расширения теперь находятся в режиме просмотра по категориям на этом новом экране, а не отдельными строками.

1. Откройте «Системные настройки» → «Основные» → «Объекты входа и расширения».
2. Прокрутите до раздела «Расширения» внизу и переключите вид в правом верхнем углу со стандартного на «По категориям» — иначе сетевые расширения теряются в длинном списке среди десятков других системных расширений.
3. В режиме «По категориям» найдите категорию «Сетевые расширения» и нажмите ⓘ рядом с ней, чтобы раскрыть её.
4. Найдите клиент, которым пользуетесь (Tailscale / Cisco Secure Client / Hiddify), и включите переключатель рядом с ним.
5. macOS попросит пароль от учётной записи или подтверждение через Touch ID — этот шаг подтверждает, что разрешение даёт человек за компьютером, а не сам клиент.
6. После подтверждения переключатель включится. Вернитесь в клиент и подключитесь снова — на этот раз туннель должен подняться нормально.

В этих двух версиях используется старый путь; уведомление и формулировки в Системных настройках отличаются от Sequoia. Действуйте так.

1. Запустите клиент как обычно и один раз нажмите «Подключить» — система показывает запрос только после реальной попытки подключения, одной установки программы мало.
2. Появится системное уведомление с заголовком вроде «Системное расширение заблокировано». Его можно закрыть или проигнорировать — дальше нужную настройку надо найти самому.
3. Откройте «Системные настройки» → «Конфиденциальность и безопасность» и прокрутите вниз (не в самом верху — обычно где-то в середине страницы), пока не увидите строку «Загрузка системного ПО от разработчика „<имя разработчика клиента>“ заблокирована».
4. Нажмите «Разрешить» рядом с этой строкой; macOS попросит пароль от учётной записи для подтверждения.
5. Вернитесь в клиент и подключитесь снова — на этот раз туннель должен подняться нормально.

В Ventura / Sonoma имя в кавычках после слова «разработчика» у каждого клиента своё — сверьте его с тем клиентом, который вы ставите; если имя не совпадает с ожидаемым, не нажимайте «Разрешить»:

• «Приватная» (Tailscale): отображается как «Tailscale Inc.» — проверено на реальном устройстве.
• Cisco (Cisco Secure Client): ожидается «Cisco Systems, Inc.», тоже пока не подтверждено.
• Hiddify: ожидается «Hiddify Team», тоже пока не подтверждено.

• «Не могу найти строку, которая должна быть в Системных настройках»: убедитесь, что вы действительно запустили клиент и один раз нажали «Подключить», как описано выше, — система показывает эту строку только после реального запроса на загрузку расширения. Если программа установлена, но ни разу не открывалась, строки не будет.
• «Случайно нажал „Не разрешать“ / закрыл уведомление»: искать кнопку отмены не нужно — просто вернитесь в клиент и снова нажмите «Подключить». Система покажет тот же запрос, и вы сможете пройти шаги выше; один отказ не блокирует навсегда.
• «На рабочем Mac кнопка „Разрешить“ серая»: обычно это политика MDM (управления устройствами), которая блокирует настройку, — одобрить может только IT-администратор из своей консоли. Попросите IT добавить клиент в список разрешённых системных расширений.
• «Поставил два клиента из трёх, а разрешение попросил только один»: второй, скорее всего, ещё не запускали и не подключали — см. первый пункт выше.