Tunnelblick: forbind ved login eller ved opstart - vælg én

Indstillingen siger forbind automatisk, og hvad der sker, når den er anvendt, afhænger fuldstændigt af, hvilken af de to tilstande der blev valgt. Den ene starter tunnelen, når du logger ind på Macen; den anden starter den, når computeren starter op, uden nogen brugersession overhovedet. Den anden kræver legitimationsoplysninger, der findes, før nogen kan skrive en adgangskode, og derfor ender den ofte med en forbindelse, der aldrig kommer op. Ingen af tilstandene er en politik, der stopper trafik, før tunnelen findes.

Beslut, hvilken hændelse forbindelsen skal følge, før du vælger indstillingen, fordi kravene udspringer fuldstændigt af det svar.

To valgmuligheder, to forskellige sessioner

Tunnelblicks indstilling for automatisk forbindelse tilbyder en login-tilstand og en computerstart-tilstand, og de er ikke udskiftelige etiketter. Den første kører inde i en brugersession med den brugers nøglering og muligheden for at spørge. Den anden kører uden grænsefladen og uden den session, så en dialog har ingen at vise sig for. Alt andet, der adskiller sig, herunder hvilke konfigurationer der er kvalificerede, følger af den opdeling.

En fungerende privat profil på skrivebordet er derfor ikke automatisk kandidat til computerstart.

Hvad du får ved at starte ved login

At starte sammen med sessionen bevarer den normale interaktive kontekst. Appen kan anmode om, hvad profilen har brug for, uanset om det er en kontoadgangskode, en nøglefrase eller en MFA-anmodning, og brugeren er til stede for at svare. Tunnelblick dokumenterer også genstart ved login, når det kørte ved logud, hvilket er en beslægtet men særskilt adfærd, der er værd at bekræfte for den installerede version. At åbne appen og etablere en brugbar tunnel er to hændelser, og kun den anden betyder noget for den ressource, du vil nå.

Test det ved at logge ud og ind igen, og kontroller derefter den private ressource i stedet for ikonet. Et ikon i menulinjen beviser, at appen startede; en vellykket anmodning beviser, at tunnelen virker.

Hvad computerstart faktisk kræver

Computerstart kører OpenVPN uden Tunnelblicks grænseflade og uden en logget ind bruger, så der er ingen brugerens nøglering tilgængelig, og ingen anmodning kan vises. Indstillingen kræver en delt konfiguration, der er kvalificeret til denne tilstand, og godkendelse skal fungere uden opsyn: en nøgle uden adgangsfrase eller en anden understøttet ordning, som VPN-ejeren har godkendt. At fjerne beskyttelse fra en nøgle eller gemme en MFA-kode i en fil, så en nedtonet kontrol bliver valgbar, er ikke konfiguration, det er en degradering.

En computerstart-forbindelse kan også overleve appen og brugersessionen. Planlæg, hvordan en administrator observerer og stopper den, i stedet for at antage, at afslutning af Tunnelblick afslutter tunnelen.

Ingen af dem blokerer trafik

Tidligere opstart er ikke en politik for netværksblokering. Det underliggende netværk skal eksistere, før OpenVPN kan forbinde, og i mellemtiden kan andre programmer bruge det frit. Hvis kravet er, at intet forlader, før tunnelen er oppe, er det et separat håndhævelsesdesign med sin egen verifikation, ikke en afkrydsningsboks i VPN-klienten. macOS' regler for on-demand og en firewall løser forskellige dele af det problem.

Skriv kravet som en sætning, før du rører indstillingen: denne Mac skal have tunnelen fra login og frem, fra opstart, eller kun mens et bestemt program kører. Kontroller derefter, hvilke tilstande den installerede version faktisk understøtter.

Symptomet, der startede dette, er normalt en tunnel, der aldrig kom op. Svaret er næsten altid sessionsmodellen, ikke profilen.