Tunnelblick: conectarse al iniciar sesión o al arrancar - elija una

El ajuste dice conectar automáticamente, y lo que ocurre después de aplicarlo depende por completo de cuál de los dos modos se eligió. Uno inicia el túnel cuando inicia sesión en el Mac; el otro lo inicia cuando arranca el equipo, sin ninguna sesión de usuario. El segundo necesita credenciales que existan antes de que nadie pueda escribir una contraseña, por eso a menudo acaba en una conexión que nunca se levanta. Ninguno de los dos modos es una política que detenga el tráfico antes de que exista el túnel.

Decida qué evento debe seguir la conexión antes de elegir la opción, porque los requisitos se derivan por completo de esa respuesta.

Dos opciones, dos sesiones distintas

El ajuste de conexión automática de Tunnelblick ofrece un modo de inicio de sesión y un modo de arranque del equipo, y no son etiquetas intercambiables. El primero se ejecuta dentro de una sesión de usuario, con el llavero de ese usuario y la capacidad de preguntar. El segundo se ejecuta sin la interfaz y sin esa sesión, así que un diálogo no tiene a quién aparecer. Todo lo demás que difiere, incluido qué configuraciones son elegibles, se deriva de esa división.

Por tanto, un perfil privado que funciona en el escritorio no es automáticamente candidato al arranque del equipo.

Qué le da el inicio al iniciar sesión

Empezar con la sesión conserva el contexto interactivo normal. La aplicación puede pedir lo que necesite el perfil, ya sea una contraseña de cuenta, una frase de paso de clave o una solicitud MFA, y el usuario está presente para responder. Tunnelblick también documenta el relanzamiento al iniciar sesión cuando se ejecutaba al cerrar sesión, un comportamiento relacionado pero separado que conviene confirmar para la versión instalada. Abrir la aplicación y establecer un túnel utilizable son dos eventos, y solo el segundo importa para el recurso al que quiere llegar.

Pruébelo cerrando sesión y volviendo a entrar, y luego compruebe el recurso privado en lugar del icono. Un icono en la barra de menús demuestra que la aplicación se inició; una solicitud correcta demuestra que el túnel funciona.

Qué requiere realmente el arranque del equipo

El arranque del equipo ejecuta OpenVPN sin la interfaz de Tunnelblick y sin ningún usuario conectado, así que no hay llavero de usuario disponible ni puede aparecer solicitud alguna. La opción requiere una configuración compartida elegible para este modo, y la autenticación debe funcionar sin supervisión: una clave sin frase de paso u otra disposición admitida que el propietario de la VPN haya aprobado. Quitar la protección a una clave o guardar un código MFA en un archivo para que un control atenuado se vuelva seleccionable no es configuración, es una degradación.

Una conexión de arranque del equipo también puede sobrevivir a la aplicación y a la sesión de usuario. Planifique cómo la observa y la detiene un administrador, en lugar de suponer que cerrar Tunnelblick termina el túnel.

Ninguno de los dos bloquea el tráfico

Arrancar antes no es una política de bloqueo de red. La red subyacente debe existir antes de que OpenVPN pueda conectarse, y mientras tanto otras aplicaciones pueden usarla libremente. Si el requisito es que nada salga antes de que el túnel esté levantado, eso es un diseño de aplicación forzosa aparte con su propia verificación, no una casilla en el cliente VPN. Las reglas bajo demanda de macOS y un cortafuegos resuelven partes distintas de ese problema.

Escriba el requisito como una frase antes de tocar el ajuste: este Mac debe tener el túnel desde el inicio de sesión, desde el arranque, o solo mientras se ejecuta una aplicación concreta. Luego compruebe qué modos admite realmente la versión instalada.

El síntoma que originó esto suele ser un túnel que nunca se levantó. La respuesta casi siempre es el modelo de sesión, no el perfil.