คู่มือที่เกี่ยวข้อง
การอนุญาตส่วนขยายเครือข่ายของ macOS คืออะไร
อัปเดต
ตอบสั้นๆ: นี่ไม่ใช่บั๊ก แต่เป็นด่านความปลอดภัยที่ macOS บังคับใช้ในระดับระบบปฏิบัติการ โปรแกรมใดก็ตามที่ต้องการดูแลทราฟฟิกเครือข่ายของคุณ (ไม่ใช่แค่ VPN แต่รวมถึงไฟร์วอลล์ ตัวบล็อกโฆษณา และเครื่องมือดักจับแพ็กเก็ต) ต้องได้รับการกด “อนุญาต” จากคุณอย่างชัดเจนก่อนจึงจะทำงานจริง แค่ติดตั้งและล็อกอินสำเร็จยังไม่นับ แอปของเราสามตัว (“ส่วนตัว” / Tailscale, Cisco Secure Client, Hiddify) จะเจอขั้นตอนนี้ตอนเชื่อมต่อครั้งแรกบน macOS ส่วน OpenVPN Connect ไม่ได้ใช้กลไกนี้ จึงไม่ต้องอนุญาต ด้านล่างอธิบายว่าทำไมต้องมีด่านนี้ แล้วตามด้วยขั้นตอนเต็มของ macOS ทั้งสองเวอร์ชัน
“ส่วนขยายเครือข่าย” จริงๆ แล้วคืออะไร
โปรแกรมใดก็ตามที่ต้องการสร้างอะแดปเตอร์เครือข่ายเสมือนบน macOS และส่งทราฟฟิกของระบบผ่านอุโมงค์ของตัวเอง ต้องขอความสามารถนั้นผ่านเฟรมเวิร์ก NetworkExtension ของ Apple ซึ่งเป็นกลไกที่ Apple บังคับใช้ตั้งแต่ macOS 10.15 Catalina แทนที่ส่วนขยายเคอร์เนล (kext) แบบเก่าที่มีสิทธิ์สูงกว่ามาก
เฟรมเวิร์กนี้มีสองส่วน: แอปแนบโค้ดส่วนหนึ่งที่จะรันด้วยสิทธิ์ระดับระบบที่สูงขึ้นมาด้วย และระบบปฏิบัติการจะแสดงข้อความยืนยัน ต้องให้คุณกดอนุญาตเองก่อน โค้ดนั้นจึงจะถูกโหลดและเริ่มจัดการทราฟฟิก ถ้าข้ามขั้นตอนนี้ ส่วนขยายจะค้างอยู่ในสถานะ “รอดำเนินการ” ไอคอนของแอปจึงขึ้นว่า “กำลังเชื่อมต่อ” ไปเรื่อยๆ โดยไม่สำเร็จเสียที
ทำไม Apple ต้องแยกด่านนี้ออกมา
- อะไรก็ตามที่สร้างอะแดปเตอร์เสมือนและดูแลทราฟฟิกได้ ในทางทฤษฎีจะเห็นข้อมูลเครือข่ายที่ไม่ได้เข้ารหัสทั้งหมดของคุณ และเปลี่ยนเส้นทางได้อย่างเงียบๆ ซึ่งเป็นความสามารถที่สปายแวร์ต้องการที่สุด Apple จึงเปลี่ยนจาก “ติดตั้งแล้วใช้ได้ทันที” เป็น “ต้องกดเองในการตั้งค่าระบบ” เพื่อไม่ให้อะไรได้ความสามารถนี้ไปโดยที่คุณไม่รู้
- ข้อความนี้จะขึ้นแค่**ครั้งแรก** เมื่ออนุญาตแอปตัวหนึ่งไปแล้ว การเชื่อมต่อปกติและการรีสตาร์ตจะไม่ทำให้มันขึ้นอีก มันจะกลับมาถ้าคุณติดตั้งระบบปฏิบัติการใหม่ ติดตั้งแอปใหม่ทั้งหมด หรือไปปิดการอนุญาตเองในการตั้งค่าระบบ
- แอปทั้งสามตัวต้องผ่านด่านนี้แยกกัน ระบบติดตามการอนุญาตแยกตามโปรแกรมที่ร้องขอ ไม่ใช่สวิตช์เดียวทั้งระบบ นี่ไม่ใช่การออกแบบซ้ำซ้อน แต่เป็นระดับความละเอียดของการตรวจจริงๆ
macOS 15 Sequoia ขึ้นไป
ใน Sequoia Apple รวมหน้าจัดการ “รายการเข้าสู่ระบบ” กับ “ส่วนขยาย” เข้าด้วยกัน ตอนนี้ส่วนขยายเครือข่ายอยู่ในมุมมองตามหมวดหมู่ของหน้าใหม่นี้ แทนที่จะแสดงทีละรายการ
- เปิด การตั้งค่าระบบ (System Settings) → ทั่วไป (General) → รายการเข้าสู่ระบบและส่วนขยาย (Login Items & Extensions)
- เลื่อนลงไปที่ส่วน “ส่วนขยาย” (Extensions) ด้านล่าง แล้วเปลี่ยนมุมมองที่มุมขวาบนจากค่าเริ่มต้นเป็น “ตามหมวดหมู่” (By Category) ถ้าไม่เปลี่ยน ส่วนขยายเครือข่ายจะจมอยู่ในรายการยาวที่ปนกับส่วนขยายระบบอื่นอีกหลายสิบรายการ
- เมื่อมุมมองเป็น “ตามหมวดหมู่” แล้ว ให้หาหมวด “ส่วนขยายเครือข่าย” (Network Extensions) แล้วคลิก ⓘ ข้างๆ เพื่อขยายออก
- หาแอปที่คุณใช้ (Tailscale / Cisco Secure Client / Hiddify) แล้วเปิดสวิตช์ข้างๆ
- macOS จะถามรหัสผ่านล็อกอิน หรือให้ยืนยันด้วย Touch ID ขั้นตอนนี้เป็นการยืนยันว่าคนที่นั่งหน้าเครื่องเป็นผู้อนุญาต ไม่ใช่ตัวแอปเอง
- ยืนยันแล้วสวิตช์จะเปลี่ยนเป็นเปิด กลับไปที่แอปแล้วเชื่อมต่อใหม่ รอบนี้อุโมงค์ควรเชื่อมต่อได้ตามปกติ
macOS 13 Ventura / 14 Sonoma
สองเวอร์ชันนี้ใช้ทางเข้าแบบเก่า ข้อความแจ้งเตือนและถ้อยคำในการตั้งค่าระบบต่างจาก Sequoia ให้ทำตามขั้นตอนนี้แทน
- เปิดแอปตามปกติแล้วคลิกเชื่อมต่อหนึ่งครั้ง ระบบจะแสดงข้อความหลังจากมีการพยายามเชื่อมต่อจริงเท่านั้น แค่ติดตั้งแอปไว้ไม่พอ
- จะมีการแจ้งเตือนของระบบขึ้นมา หัวข้อประมาณว่า “ส่วนขยายระบบถูกปิดกั้น” (System Extension Blocked) จะปิดหรือไม่สนใจก็ได้ ขั้นต่อไปคือไปหาการตั้งค่าเอง
- เปิด การตั้งค่าระบบ → ความเป็นส่วนตัวและความปลอดภัย (Privacy & Security) แล้วเลื่อนลงมา (ไม่ใช่ด้านบน ปกติอยู่ราวกลางหน้า) จนเห็นบรรทัดที่เขียนว่า “ซอฟต์แวร์ระบบจากผู้พัฒนา '<ชื่อผู้พัฒนาแอป>' ถูกปิดกั้นไม่ให้โหลด” (System software from developer '...' was blocked from loading)
- คลิก อนุญาต (Allow) ข้างบรรทัดนั้น macOS จะถามรหัสผ่านล็อกอินเพื่อยืนยัน
- กลับไปที่แอปแล้วเชื่อมต่อใหม่ รอบนี้อุโมงค์ควรเชื่อมต่อได้ตามปกติ
ชื่อผู้พัฒนาของแต่ละแอป
บน Ventura / Sonoma ชื่อในเครื่องหมายคำพูดหลังคำว่า “ผู้พัฒนา” จะต่างกันไปในแต่ละแอป ให้ตรวจว่าตรงกับแอปที่คุณกำลังติดตั้งจริง ถ้าชื่อไม่ตรงกับที่คาดไว้ อย่ากดอนุญาต:
- ส่วนตัว (Tailscale): แสดงเป็น “Tailscale Inc.” ยืนยันกับเครื่องจริงแล้วว่าถูกต้อง
- Cisco (Cisco Secure Client): คาดว่าจะแสดงเป็น “Cisco Systems, Inc.” ยังไม่ได้ยืนยัน
- Hiddify: คาดว่าจะแสดงเป็น “Hiddify Team” ยังไม่ได้ยืนยันเช่นกัน
แก้ปัญหา
- “หาบรรทัดที่ควรจะขึ้นในการตั้งค่าระบบไม่เจอ”: ตรวจให้แน่ใจว่าเปิดแอปและคลิกเชื่อมต่อไปแล้วหนึ่งครั้งตามที่บอกข้างบน ระบบจะแสดงบรรทัดนี้หลังได้รับคำขอโหลดจริงจากส่วนขยายเท่านั้น ติดตั้งแอปไว้แต่ไม่เคยเปิดจะไม่มีบรรทัดนี้
- “เผลอกดไม่อนุญาต / ปิดการแจ้งเตือนไปแล้ว”: ไม่ต้องหาปุ่มย้อนกลับ แค่กลับไปที่แอปแล้วคลิกเชื่อมต่ออีกครั้ง ระบบจะแสดงข้อความเดิมอีก แล้วทำตามขั้นตอนข้างบนได้ การปิดไปครั้งเดียวไม่ได้ล็อกคุณไว้ถาวร
- “บน Mac ของบริษัท ปุ่มอนุญาตเป็นสีเทา”: ปกติเป็นเพราะนโยบาย MDM (ระบบจัดการอุปกรณ์) ล็อกการตั้งค่าไว้ ต้องให้ผู้ดูแลไอทีอนุญาตจากคอนโซลเท่านั้น ขอให้ฝ่ายไอทีเพิ่มแอปเข้าในรายการส่วนขยายระบบที่อนุมัติแล้ว
- “ติดตั้งไปสองในสามตัว แต่ขอให้อนุญาตแค่ตัวเดียว”: อีกตัวน่าจะยังไม่ได้เปิดและเชื่อมต่อ ดูข้อแรกข้างบน
FAQ
ขั้นตอนนี้พวกคุณเพิ่มเข้ามาเองหรือเปล่า?
ไม่ใช่ นี่คือกลไกในตัวของ macOS ที่ใช้กับทุกโปรแกรมที่ต้องการดูแลทราฟฟิกเครือข่าย ตั้งแต่ macOS 10.15 Catalina ไม่ว่าจะเป็นแอปของผู้พัฒนาเจ้าไหน เอกสารของ Apple เองเรียกมันว่าหมวด Network Extension ภายใต้ System Extensions
อนุญาตแล้วปลอดภัยไหม? จะถูกนำไปใช้ในทางที่ผิดได้ไหม?
ส่วนขยายเครือข่ายรันในแซนด์บ็อกซ์ที่จำกัดกว่าส่วนขยายเคอร์เนลแบบเก่า และ macOS เก็บบันทึกว่าโปรแกรมไหนถือสิทธิ์นี้อยู่ คุณดูรายการทั้งหมดและเพิกถอนตัวไหนก็ได้ทุกเมื่อที่ การตั้งค่าระบบ → ความเป็นส่วนตัวและความปลอดภัย → เครือข่าย (Network) แอปของวิธี “ส่วนตัว”, OpenVPN และ Cisco เป็นซอฟต์แวร์ทางการที่ผู้พัฒนาเซ็นไว้ ส่วน Hiddify เป็นสำเนาที่ตรงกับโปรเจกต์โอเพนซอร์สทุกไบต์ ดูรายละเอียดในหมายเหตุการดาวน์โหลดของแต่ละหน้า
ทำไมก่อนหน้านี้ไม่เคยเจอ แล้วจู่ๆ ก็มีขึ้นมา?
พบบ่อยหลังอัปเกรดระบบ หลังอัปเดตเป็น Sequoia บางครั้งบันทึกการอนุญาตของแอปที่มีอยู่ไม่ได้ย้ายมาด้วย ต้องทำขั้นตอนของ Sequoia ข้างบนใหม่ และอาจเกิดหลังติดตั้งแอปหรือระบบปฏิบัติการใหม่ ซึ่งจะล้างบันทึกการอนุญาตออก
ต้องติดตั้งและอนุญาตทั้งสามแอปไหม?
ไม่ต้อง อนุญาตแค่ตัวที่คุณติดตั้งจริง บัญชีใช้ได้กับทุกแอป เลือกตัวที่สะดวกที่สุดสำหรับใช้ทุกวัน ดูที่ “วิธีเชื่อมต่อแต่ละแบบเหมาะกับสถานการณ์ไหน”
เรื่องนี้เหมือนกับที่ macOS บอกว่าแอป “เสียหายและเปิดไม่ได้” ไหม?
ไม่เหมือน แต่คุณอาจเจอทั้งสองอย่างต่อกัน “เสียหาย” คือการตรวจของ Gatekeeper กับไฟล์ติดตั้งที่ดาวน์โหลดมา ส่วนข้อความส่วนขยายเครือข่ายเป็นอีกชั้นหนึ่งที่ดูแลเฉพาะเรื่องว่าใครได้รับอนุญาตให้ดูแลเครือข่ายของคุณ สาเหตุและวิธีแก้ต่างกัน เรื่องนั้นดูที่ “แอนติไวรัสแจ้งเตือนแอป หรือ macOS บอกว่าเสียหาย”