Tunnelblick：ログイン時と起動時、どちらで接続するかを選ぶ

設定には自動接続と書かれていますが、適用後に何が起きるかは、二つのモードのどちらを選んだかでまったく変わります。一方はMacにログインしたときにトンネルを開始し、もう一方はユーザーセッションなしでコンピュータの起動時に開始します。後者には、誰かがパスワードを入力できる前に存在する資格情報が必要であり、そのため接続が決して上がらないまま終わることがよくあります。どちらのモードも、トンネルが存在する前に通信を止めるポリシーではありません。

要件がその答えから完全に導かれるので、オプションを選ぶ前に、接続がどのイベントに従うべきかを決めてください。

二つの選択肢、二つの異なるセッション

Tunnelblickの自動接続設定にはログイン時モードとコンピュータ起動時モードがあり、両者は入れ替え可能なラベルではありません。前者はユーザーセッションの中で動作し、そのユーザーのキーチェーンと問い合わせる能力を持ちます。後者はインターフェースもそのセッションもなしで動作するため、ダイアログを表示する相手がいません。それ以外の違い、たとえばどの構成が対象になるかも、この区分から導かれます。

したがって、デスクトップで動作するプライベートプロファイルは、自動的にコンピュータ起動の候補になるわけではありません。

ログイン時の開始で得られるもの

セッションとともに開始すると、通常の対話的な状況が保たれます。アプリはプロファイルが必要とするものを要求でき、それがアカウントのパスワード、鍵のパスフレーズ、MFAの要求のいずれであっても、ユーザーが答えるためにそこにいます。Tunnelblickは、ログアウト時に動作していた場合のログイン時の再起動も文書化しており、これは関連するものの別の挙動で、インストールされたバージョンについて確認する価値があります。アプリを開くことと使用可能なトンネルを確立することは二つの出来事であり、到達したいリソースにとって重要なのは二つ目だけです。

ログアウトして再びログインして試し、アイコンではなくプライベートなリソースを確認してください。メニューバーのアイコンはアプリが起動したことを証明し、成功した要求はトンネルが機能することを証明します。

コンピュータ起動が実際に必要とするもの

コンピュータ起動は、Tunnelblickのインターフェースもログイン中のユーザーもなしでOpenVPNを実行するため、ユーザーのキーチェーンは利用できず、要求も表示できません。このオプションには、このモードの対象となる共有構成が必要で、認証は無人で機能しなければなりません：パスフレーズのない鍵、またはVPNの所有者が承認した別の対応する仕組みです。灰色になったコントロールを選べるようにするために鍵から保護を外したりMFAコードをファイルに保存したりするのは、構成ではなく水準の引き下げです。

コンピュータ起動時の接続は、アプリとユーザーセッションより長く存続することもあります。Tunnelblickを終了すればトンネルが終わると想定するのではなく、管理者がどのように監視して停止するかを計画してください。

どちらも通信を遮断しない

より早い開始はネットワーク遮断のポリシーではありません。OpenVPNが接続する前に基盤のネットワークが存在している必要があり、その間は他のアプリが自由に使えます。トンネルが上がる前に何も出てはいけないというのが要件なら、それは独自の検証を伴う別の強制の設計であり、VPNクライアントのチェックボックスではありません。macOSのオンデマンドのルールとファイアウォールが、その問題の別の部分を解決します。

設定に触れる前に、要件を一文で書いてください：このMacはログイン以降、起動以降、または特定のアプリが動作している間だけトンネルを持つ必要がある、という形です。その後で、インストールされたバージョンが実際にどのモードをサポートしているかを確認してください。

これを始めた症状は通常、決して上がらなかったトンネルです。答えはほとんどの場合セッションのモデルであり、プロファイルではありません。