Bước cho phép tiện ích mở rộng mạng của macOS là gì

Chương trình nào muốn tạo một bộ điều hợp mạng ảo trên macOS và cho lưu lượng hệ thống đi qua đường hầm của riêng nó đều phải xin quyền đó qua khung NetworkExtension của Apple. Apple áp dụng cơ chế này từ macOS 10.15 Catalina, thay cho các phần mở rộng nhân (kext) cũ có quyền lớn hơn nhiều.

Khung này có hai nửa: ứng dụng mang theo một đoạn mã cần chạy với quyền hệ thống cao, còn hệ điều hành hiện một lời nhắc xác nhận. Chỉ khi chính bạn bấm Cho phép thì đoạn mã đó mới được nạp và bắt đầu xử lý lưu lượng. Bỏ qua bước này thì tiện ích cứ nằm ở trạng thái “chờ”, đó là lý do biểu tượng ứng dụng cứ hiện “đang kết nối” mãi mà không bao giờ thành công.

• Thứ gì tạo được bộ điều hợp ảo và tiếp quản lưu lượng thì về lý thuyết thấy được toàn bộ dữ liệu mạng chưa mã hóa của bạn và có thể lặng lẽ chuyển hướng nó, đúng thứ phần mềm gián điệp thèm muốn nhất. Apple đổi từ “cài xong là chạy” sang “phải bấm tay trong Cài đặt hệ thống” chính là để không gì có được khả năng này mà bạn không hay biết.
• Lời nhắc này chỉ xuất hiện ở **lần đầu tiên**: khi một ứng dụng đã được cho phép, kết nối thường ngày và khởi động lại máy sẽ không làm nó hiện lại. Nó quay lại nếu bạn cài lại hệ điều hành, cài một bản mới của ứng dụng, hoặc tự tắt quyền đó trong Cài đặt hệ thống.
• Mỗi ứng dụng trong ba cái phải qua cửa này riêng: hệ thống ghi nhận quyền theo từng chương trình xin quyền, không phải một công tắc chung. Đó không phải thiết kế thừa, mà là đúng mức chi tiết của việc kiểm tra.

Từ Sequoia, Apple gộp hai màn hình quản lý “Mục đăng nhập” và “Tiện ích mở rộng” làm một. Tiện ích mở rộng mạng giờ nằm trong chế độ xem theo danh mục của màn hình mới này, không còn liệt kê riêng từng cái.

1. Mở Cài đặt hệ thống → Cài đặt chung → Mục đăng nhập & Tiện ích mở rộng.
2. Cuộn xuống phần “Tiện ích mở rộng” ở cuối và đổi chế độ xem ở góc trên bên phải từ mặc định sang “Theo danh mục”; nếu không đổi, tiện ích mở rộng mạng sẽ bị lẫn trong một danh sách dài cùng hàng chục tiện ích hệ thống khác.
3. Khi đã xem theo danh mục, tìm mục “Tiện ích mở rộng mạng” và bấm ⓘ bên cạnh để mở ra.
4. Tìm ứng dụng bạn đang dùng (Tailscale / Cisco Secure Client / Hiddify) và bật công tắc bên cạnh.
5. macOS sẽ hỏi mật khẩu đăng nhập hoặc xác nhận bằng Touch ID; bước này xác nhận rằng người đang ngồi trước máy cấp quyền, chứ không phải chính ứng dụng.
6. Xác nhận xong, công tắc chuyển sang bật. Quay lại ứng dụng và kết nối lại, lần này đường hầm sẽ lên bình thường.

Hai phiên bản này dùng lối vào cũ; thông báo và chữ trong Cài đặt hệ thống khác với Sequoia. Hãy làm theo đường dưới đây.

1. Mở ứng dụng như bình thường và bấm Kết nối một lần; hệ điều hành chỉ hiện lời nhắc sau một lần thử kết nối thật, không phải chỉ vì ứng dụng đã được cài.
2. Một thông báo hệ thống hiện ra, tiêu đề đại loại “Đã chặn tiện ích mở rộng hệ thống”. Bạn có thể đóng hoặc bỏ qua; bước tiếp theo là tự đi tìm phần cài đặt.
3. Mở Cài đặt hệ thống → Quyền riêng tư & Bảo mật và cuộn xuống (không phải ở đầu trang, thường ở khoảng giữa) cho tới khi thấy dòng “Phần mềm hệ thống từ nhà phát triển '<tên nhà phát triển của ứng dụng>' đã bị chặn tải”.
4. Bấm Cho phép cạnh dòng đó; macOS sẽ hỏi mật khẩu đăng nhập để xác nhận.
5. Quay lại ứng dụng và kết nối lại, lần này đường hầm sẽ lên bình thường.

Trên Ventura / Sonoma, cái tên trong ngoặc sau chữ “nhà phát triển” khác nhau với mỗi ứng dụng. Hãy đối chiếu với ứng dụng bạn đang cài; nếu tên không khớp với điều bạn chờ đợi thì đừng bấm Cho phép:

• Mạng riêng (Tailscale): hiện là “Tailscale Inc.”, đã xác nhận chính xác trên máy thật.
• Cisco (Cisco Secure Client): dự kiến hiện là “Cisco Systems, Inc.”, chưa xác nhận.
• Hiddify: dự kiến hiện là “Hiddify Team”, cũng chưa xác nhận.

• “Tôi không tìm thấy dòng mà Cài đặt hệ thống lẽ ra phải hiện”: hãy chắc là bạn đã thật sự mở ứng dụng và bấm Kết nối một lần như ở trên; hệ điều hành chỉ hiện dòng này sau khi nhận được một yêu cầu nạp thật từ tiện ích. Cài ứng dụng mà chưa từng mở thì sẽ không có.
• “Tôi lỡ bấm Không cho phép / đã đóng thông báo”: không cần đi tìm nút hoàn tác, cứ quay lại ứng dụng và bấm Kết nối lần nữa. Hệ điều hành sẽ hiện lại đúng lời nhắc đó, bạn làm lại các bước ở trên; đóng một lần không khóa bạn vĩnh viễn.
• “Trên máy Mac công ty cấp, nút Cho phép bị mờ”: thường là do chính sách MDM (quản lý thiết bị) khóa phần cài đặt này, chỉ quản trị viên IT mới cho phép được từ bảng điều khiển của họ. Hãy nhờ bộ phận IT thêm ứng dụng vào danh sách tiện ích mở rộng hệ thống được phép.
• “Tôi cài hai trong ba ứng dụng mà chỉ một cái hỏi cho phép”: cái còn lại có lẽ chưa được mở và kết nối lần nào, xem mục đầu tiên ở trên.