Tunnelblick: connettersi all'accesso o all'avvio - scegline una

L'impostazione dice di connettersi automaticamente, e ciò che accade dopo averla applicata dipende interamente da quale delle due modalità è stata scelta. Una avvia il tunnel quando accedi al Mac; l'altra lo avvia all'avvio del computer, senza alcuna sessione utente. La seconda richiede credenziali che esistano prima che qualcuno possa digitare una password, per questo spesso finisce con una connessione che non si alza mai. Nessuna delle due modalità è una politica che arresta il traffico prima che il tunnel esista.

Decidi quale evento deve seguire la connessione prima di scegliere l'opzione, perché i requisiti derivano interamente da quella risposta.

Due opzioni, due sessioni diverse

L'impostazione di connessione automatica di Tunnelblick offre una modalità all'accesso e una modalità all'avvio del computer, e non sono etichette intercambiabili. La prima viene eseguita all'interno di una sessione utente, con il portachiavi di quell'utente e la possibilità di chiedere. La seconda viene eseguita senza l'interfaccia e senza quella sessione, quindi una finestra di dialogo non ha nessuno a cui apparire. Tutto il resto che differisce, comprese quali configurazioni sono idonee, deriva da questa separazione.

Un profilo privato funzionante sul desktop non è quindi automaticamente candidato all'avvio del computer.

Che cosa ti dà l'avvio all'accesso

Avviare con la sessione conserva il normale contesto interattivo. L'applicazione può richiedere ciò che serve al profilo, che si tratti di una password dell'account, una passphrase della chiave o una richiesta MFA, e l'utente è presente per rispondere. Tunnelblick documenta anche il riavvio all'accesso quando era in esecuzione al logout, un comportamento correlato ma separato che vale la pena verificare per la versione installata. Aprire l'applicazione e stabilire un tunnel utilizzabile sono due eventi, e solo il secondo conta per la risorsa che vuoi raggiungere.

Provalo uscendo e rientrando, poi controlla la risorsa privata invece dell'icona. Un'icona nella barra dei menu dimostra che l'applicazione si è avviata; una richiesta riuscita dimostra che il tunnel funziona.

Che cosa richiede davvero l'avvio del computer

L'avvio del computer esegue OpenVPN senza l'interfaccia di Tunnelblick e senza un utente connesso, quindi nessun portachiavi utente è disponibile e nessuna richiesta può apparire. L'opzione richiede una configurazione condivisa idonea a questa modalità, e l'autenticazione deve funzionare senza sorveglianza: una chiave senza passphrase o un'altra soluzione supportata approvata dal proprietario della VPN. Rimuovere la protezione da una chiave o memorizzare un codice MFA in un file perché un controllo in grigio diventi selezionabile non è configurazione, è un degrado.

Una connessione all'avvio del computer può anche sopravvivere all'applicazione e alla sessione utente. Pianifica come un amministratore la osserva e la ferma, invece di presumere che uscire da Tunnelblick termini il tunnel.

Nessuna delle due blocca il traffico

Avviare prima non è una politica di blocco della rete. La rete sottostante deve esistere prima che OpenVPN possa connettersi, e nel frattempo altre applicazioni possono usarla liberamente. Se il requisito è che nulla esca prima che il tunnel sia attivo, questa è una progettazione di applicazione separata con la propria verifica, non una casella nel client VPN. Le regole su richiesta di macOS e un firewall risolvono parti diverse di quel problema.

Scrivi il requisito come una frase prima di toccare l'impostazione: questo Mac deve avere il tunnel dall'accesso in poi, dall'avvio, o solo mentre è in esecuzione un'applicazione specifica. Poi controlla quali modalità la versione installata supporta davvero.

Il sintomo che ha dato inizio a tutto ciò è di solito un tunnel che non si è mai alzato. La risposta è quasi sempre il modello di sessione, non il profilo.