Tunnelblick: connecta en iniciar sessió o en arrencar - tria'n una

El paràmetre diu que es connecti automàticament, i què passa després d'aplicar-lo depèn totalment de quin dels dos modes s'ha triat. Un inicia el túnel quan inicieu sessió al Mac; l'altre l'inicia quan s'arrenca l'ordinador, sense cap sessió d'usuari. El segon necessita credencials que existeixin abans que ningú pugui escriure una contrasenya, i per això sovint acaba amb una connexió que mai no aixeca. Cap dels dos modes no és una política que aturi el trànsit abans que existeixi el túnel.

Decidiu quin esdeveniment ha de seguir la connexió abans de triar l'opció, perquè els requisits es deriven totalment d'aquesta resposta.

Dues opcions, dues sessions diferents

El paràmetre de connexió automàtica del Tunnelblick ofereix un mode d'inici de sessió i un mode d'arrencada de l'ordinador, i no són etiquetes intercanviables. El primer s'executa dins d'una sessió d'usuari, amb el clauer d'aquell usuari i la capacitat de preguntar. El segon s'executa sense la interfície i sense aquella sessió, així que un diàleg no té ningú a qui aparèixer. Tota la resta que difereix, incloent quines configuracions són elegibles, es deriva d'aquesta divisió.

Per tant, un perfil privat que funciona a l'escriptori no és automàticament candidat a l'arrencada de l'ordinador.

Què us dona l'inici a l'hora d'iniciar sessió

Començar amb la sessió conserva el context interactiu normal. L'aplicació pot demanar el que necessiti el perfil, tant si és una contrasenya de compte, una frase de pas d'una clau o una sol·licitud MFA, i l'usuari és allà per respondre. El Tunnelblick també documenta el reinici en iniciar sessió quan s'executava en tancar la sessió, un comportament relacionat però separat que val la pena confirmar per a la versió instal·lada. Obrir l'aplicació i establir un túnel utilitzable són dos esdeveniments, i només el segon importa per al recurs al qual voleu arribar.

Proveu-ho tancant la sessió i tornant a entrar, i després comproveu el recurs privat en lloc de la icona. Una icona a la barra de menús demostra que l'aplicació s'ha iniciat; una sol·licitud correcta demostra que el túnel funciona.

Què requereix realment l'arrencada de l'ordinador

L'arrencada de l'ordinador executa OpenVPN sense la interfície del Tunnelblick i sense cap usuari connectat, així que no hi ha clauer d'usuari disponible ni pot aparèixer cap sol·licitud. L'opció requereix una configuració compartida elegible per a aquest mode, i l'autenticació ha de funcionar sense supervisió: una clau sense frase de pas o un altre arranjament admès que el propietari de la VPN hagi aprovat. Treure la protecció d'una clau o desar un codi MFA en un fitxer perquè un control en gris es torni seleccionable no és configuració, és una rebaixa.

Una connexió d'arrencada de l'ordinador també pot sobreviure a l'aplicació i a la sessió d'usuari. Planifiqueu com un administrador l'observa i l'atura, en lloc de suposar que tancar el Tunnelblick acaba amb el túnel.

Cap dels dos bloqueja el trànsit

Començar abans no és una política de bloqueig de la xarxa. La xarxa subjacent ha d'existir abans que l'OpenVPN es pugui connectar, i mentrestant altres aplicacions la poden fer servir lliurement. Si el requisit és que no surti res abans que el túnel estigui aixecat, això és un disseny de control diferent amb la seva pròpia verificació, no una casella al client VPN. Les regles sota demanda del macOS i un tallafoc resolen parts diferents d'aquest problema.

Escriviu el requisit com una frase abans de tocar el paràmetre: aquest Mac ha de tenir el túnel des de l'inici de sessió, des de l'arrencada, o només mentre s'executi una aplicació concreta. Després comproveu quins modes admet realment la versió instal·lada.

El símptoma que va originar això sol ser un túnel que mai no s'ha aixecat. La resposta gairebé sempre és el model de sessió, no el perfil.