Tunnelblick : se connecter à l'ouverture de session ou au démarrage - choisissez-en un

Le réglage indique de se connecter automatiquement, et ce qui se produit ensuite dépend entièrement du mode choisi parmi les deux. L'un démarre le tunnel lorsque vous ouvrez une session sur le Mac ; l'autre le démarre au démarrage de l'ordinateur, sans aucune session utilisateur. Le second exige des identifiants qui existent avant que quiconque puisse saisir un mot de passe, ce qui explique qu'il se termine souvent par une connexion qui ne monte jamais. Aucun des deux modes n'est une politique qui arrête le trafic avant que le tunnel existe.

Décidez quel événement la connexion doit suivre avant de choisir l'option, car les exigences découlent entièrement de cette réponse.

Deux options, deux sessions différentes

Le réglage de connexion automatique de Tunnelblick propose un mode à l'ouverture de session et un mode au démarrage de l'ordinateur, et ce ne sont pas des libellés interchangeables. Le premier s'exécute dans une session utilisateur, avec le trousseau de cet utilisateur et la possibilité de demander. Le second s'exécute sans l'interface et sans cette session, si bien qu'une boîte de dialogue n'a personne à qui apparaître. Tout le reste qui diffère, y compris quelles configurations sont éligibles, découle de cette séparation.

Un profil privé fonctionnel sur le bureau n'est donc pas automatiquement candidat au démarrage de l'ordinateur.

Ce que le démarrage à l'ouverture de session vous apporte

Démarrer avec la session préserve le contexte interactif habituel. L'application peut demander ce dont le profil a besoin, qu'il s'agisse de un mot de passe de compte, d'une phrase secrète de clé ou d'une invite MFA, et l'utilisateur est présent pour répondre. Tunnelblick documente aussi le relancement à l'ouverture de session lorsqu'il fonctionnait à la fermeture de session, un comportement lié mais distinct qu'il vaut la peine de vérifier pour la version installée. Ouvrir l'application et établir un tunnel utilisable sont deux événements, et seul le second compte pour la ressource que vous voulez atteindre.

Testez-le en fermant puis en rouvrant la session, puis vérifiez la ressource privée plutôt que l'icône. Une icône dans la barre des menus prouve que l'application s'est lancée ; une requête réussie prouve que le tunnel fonctionne.

Ce que le démarrage de l'ordinateur exige réellement

Le démarrage de l'ordinateur exécute OpenVPN sans l'interface de Tunnelblick et sans utilisateur connecté, donc aucun trousseau utilisateur n'est disponible et aucune invite ne peut apparaître. L'option exige une configuration partagée éligible pour ce mode, et l'authentification doit fonctionner sans surveillance : une clé sans phrase secrète ou un autre agencement pris en charge et approuvé par le propriétaire du VPN. Retirer la protection d'une clé ou stocker un code MFA dans un fichier pour qu'un contrôle grisé devienne sélectionnable n'est pas de la configuration, c'est une dégradation.

Une connexion au démarrage de l'ordinateur peut aussi survivre à l'application et à la session utilisateur. Planifiez comment un administrateur l'observe et l'arrête, au lieu de supposer que quitter Tunnelblick met fin au tunnel.

Ni l'un ni l'autre ne bloque le trafic

Démarrer plus tôt n'est pas une politique de blocage du réseau. Le réseau sous-jacent doit exister avant qu'OpenVPN puisse se connecter, et entre-temps d'autres applications peuvent l'utiliser librement. Si l'exigence est que rien ne sorte avant que le tunnel soit monté, c'est une conception d'application séparée avec sa propre vérification, pas une case à cocher dans le client VPN. Les règles à la demande de macOS et un pare-feu résolvent différentes parties de ce problème.

Écrivez l'exigence sous forme de phrase avant de toucher au réglage : ce Mac doit avoir le tunnel à partir de l'ouverture de session, du démarrage, ou seulement pendant qu'une application précise fonctionne. Vérifiez ensuite quels modes la version installée prend réellement en charge.

Le symptôme à l'origine de tout cela est généralement un tunnel qui n'est jamais monté. La réponse est presque toujours le modèle de session, pas le profil.