Tunnelblick: verbinden bij inloggen of bij opstarten - kies er één

De instelling zegt automatisch verbinden, en wat er daarna gebeurt, hangt volledig af van welke van de twee modi is gekozen. De ene start de tunnel wanneer je op de Mac inlogt; de andere start hem wanneer de computer opstart, zonder enige gebruikerssessie. De tweede heeft inloggegevens nodig die bestaan voordat iemand een wachtwoord kan typen, waardoor hij vaak eindigt met een verbinding die nooit tot stand komt. Geen van beide modi is een beleid dat verkeer stopt voordat de tunnel bestaat.

Bepaal welke gebeurtenis de verbinding moet volgen voordat je de optie kiest, want de vereisten komen volledig uit dat antwoord voort.

Twee opties, twee verschillende sessies

De instelling voor automatisch verbinden van Tunnelblick biedt een inlogmodus en een opstartmodus, en dat zijn geen uitwisselbare labels. De eerste draait binnen een gebruikerssessie, met de sleutelhanger van die gebruiker en de mogelijkheid om te vragen. De tweede draait zonder de interface en zonder die sessie, dus een dialoog heeft niemand om aan te verschijnen. Al het andere dat verschilt, inclusief welke configuraties in aanmerking komen, volgt uit die scheiding.

Een werkend privéprofiel op de desktop is dus niet automatisch een kandidaat voor het opstarten van de computer.

Wat starten bij inloggen je oplevert

Starten met de sessie behoudt de normale interactieve context. De app kan aanvragen wat het profiel nodig heeft, of dat nu een accountwachtwoord, een sleutelwachtwoordzin of een MFA-vraag is, en de gebruiker is aanwezig om te antwoorden. Tunnelblick documenteert ook het opnieuw starten bij inloggen wanneer het bij uitloggen draaide, een verwant maar apart gedrag dat de moeite waard is om te bevestigen voor de geïnstalleerde versie. De app openen en een bruikbare tunnel tot stand brengen zijn twee gebeurtenissen, en alleen de tweede is belangrijk voor de bron die je wilt bereiken.

Test het door uit te loggen en weer in te loggen, en controleer daarna de privébron in plaats van het pictogram. Een pictogram in de menubalk bewijst dat de app is gestart; een geslaagd verzoek bewijst dat de tunnel werkt.

Wat het opstarten van de computer werkelijk vereist

Het opstarten van de computer voert OpenVPN uit zonder de Tunnelblick-interface en zonder ingelogde gebruiker, dus er is geen gebruikerssleutelhanger beschikbaar en er kan geen vraag verschijnen. De optie vereist een gedeelde configuratie die voor deze modus in aanmerking komt, en authenticatie moet zonder toezicht werken: een sleutel zonder wachtwoordzin of een andere ondersteunde regeling die de VPN-eigenaar heeft goedgekeurd. Bescherming van een sleutel verwijderen of een MFA-code in een bestand opslaan zodat een grijs bedieningselement selecteerbaar wordt is geen configuratie, het is een verlaging.

Een verbinding bij het opstarten van de computer kan ook de app en de gebruikerssessie overleven. Plan hoe een beheerder die observeert en stopt, in plaats van aan te nemen dat Tunnelblick afsluiten de tunnel beëindigt.

Geen van beide blokkeert verkeer

Eerder starten is geen beleid voor netwerkblokkering. Het onderliggende netwerk moet bestaan voordat OpenVPN kan verbinden, en ondertussen kunnen andere toepassingen het vrij gebruiken. Als de eis is dat er niets naar buiten gaat voordat de tunnel staat, is dat een apart handhavingsontwerp met zijn eigen verificatie, geen selectievakje in de VPN-client. De on-demand-regels van macOS en een firewall lossen verschillende delen van dat probleem op.

Schrijf de eis als een zin voordat je de instelling aanraakt: deze Mac moet de tunnel vanaf het inloggen, vanaf het opstarten, of alleen terwijl een specifieke toepassing draait hebben. Controleer daarna welke modi de geïnstalleerde versie werkelijk ondersteunt.

Het symptoom dat dit begon, is meestal een tunnel die nooit tot stand kwam. Het antwoord is bijna altijd het sessiemodel, niet het profiel.