Tunnelblick: התחברות בכניסה או באתחול - בחרו אחת

ההגדרה אומרת להתחבר אוטומטית, ומה שקורה לאחר החלתה תלוי לחלוטין באיזה משני המצבים נבחר. האחד מתחיל את המנהרה כשאתם נכנסים ל-Mac; האחר מתחיל אותה כשהמחשב נאתחל, בלי שום הפעלת משתמש. השני צריך פרטי כניסה שקיימים לפני שמישהו יכול להקליד סיסמה, ולכן הוא לעיתים קרובות מסתיים בחיבור שלעולם לא עולה. אף אחד מהמצבים אינו מדיניות שעוצרת תעבורה לפני שהמנהרה קיימת.

החליטו איזה אירוע החיבור צריך לעקוב אחריו לפני בחירת האפשרות, כי הדרישות נובעות כולן מאותה תשובה.

שתי אפשרויות, שתי הפעלות שונות

הגדרת החיבור האוטומטי של Tunnelblick מציעה מצב בזמן כניסה ומצב באתחול המחשב, ואלה אינם תוויות הניתנות להחלפה. הראשון פועל בתוך הפעלת משתמש, עם מחזיק המפתחות של אותו משתמש והיכולת לשאול. השני פועל בלי הממשק ובלי אותה הפעלה, כך שלתיבת דו-שיח אין למי להופיע. כל השאר ששונה, כולל אילו תצורות זכאיות, נובע מהפיצול הזה.

לכן פרופיל פרטי שעובד על שולחן העבודה אינו אוטומטית מועמד לאתחול המחשב.

מה נותן לכם התחלה בזמן כניסה

התחלה יחד עם ההפעלה שומרת על ההקשר האינטראקטיבי הרגיל. האפליקציה יכולה לבקש כל מה שהפרופיל צריך, בין אם זה סיסמת חשבון, מילת צופן למפתח או בקשה של MFA, והמשתמש נוכח כדי לענות. Tunnelblick מתעד גם הפעלה מחדש בכניסה כאשר היה פועל ביציאה, התנהגות קשורה אך נפרדת שכדאי לאשר עבור הגרסה המותקנת. פתיחת האפליקציה והקמת מנהרה שמישה הם שני אירועים, ורק השני חשוב למשאב שאליו אתם רוצים להגיע.

בדקו זאת ביציאה ובכניסה מחדש, ואז בדקו את המשאב הפרטי ולא את הסמל. סמל בשורת התפריטים מוכיח שהאפליקציה עלתה; בקשה מוצלחת מוכיחה שהמנהרה עובדת.

מה באמת דורש אתחול המחשב

אתחול המחשב מריץ את OpenVPN בלי הממשק של Tunnelblick ובלי משתמש מחובר, ולכן אין מחזיק מפתחות של משתמש ושום בקשה לא יכולה להופיע. האפשרות דורשת תצורה משותפת שזכאית למצב הזה, והאימות חייב לעבוד ללא השגחה: מפתח בלי מילת צופן, או הסדר אחר נתמך שאושר בידי בעל ה-VPN. הסרת הגנה ממפתח או אחסון קוד MFA בקובץ כדי שפקד אפור יהפוך לבחיר אינם תצורה, הם הורדת רמה.

חיבור באתחול המחשב יכול גם לשרוד את האפליקציה ואת הפעלת המשתמש. תכננו כיצד מנהל צופה בו ועוצר אותו, במקום להניח שסגירת Tunnelblick מסיימת את המנהרה.

אף אחד מהם לא חוסם תעבורה

התחלה מוקדמת יותר אינה מדיניות חסימת רשת. הרשת הבסיסית חייבת להתקיים לפני ש-OpenVPN יכול להתחבר, ובינתיים אפליקציות אחרות יכולות להשתמש בה בחופשיות. אם הדרישה היא ששום דבר לא יוצא לפני שהמנהרה למעלה, זהו עיצוב אכיפה נפרד עם אימות משלו, לא תיבת סימון בלקוח ה-VPN. כללי macOS לפי דרישה וחומת אש פותרים חלקים שונים של הבעיה הזו.

כתבו את הדרישה כמשפט לפני שנוגעים בהגדרה: ה-Mac הזה חייב את המנהרה מהכניסה ואילך, מהאתחול, או רק בזמן שאפליקציה מסוימת פועלת. אחר כך בדקו אילו מצבים הגרסה המותקנת באמת תומכת בהם.

התסמין שהתחיל את זה הוא בדרך כלל מנהרה שלעולם לא עלתה. התשובה היא כמעט תמיד מודל ההפעלה, לא הפרופיל.