Tunnelblick: połączenie przy logowaniu lub przy starcie - wybierz jedno

Ustawienie mówi połącz automatycznie, a to, co dzieje się po jego zastosowaniu, zależy całkowicie od tego, który z dwóch trybów wybrano. Jeden uruchamia tunel, gdy logujesz się do Maca; drugi uruchamia go przy starcie komputera, bez żadnej sesji użytkownika. Drugi wymaga danych logowania, które istnieją, zanim ktokolwiek może wpisać hasło, dlatego często kończy się połączeniem, które nigdy nie wstaje. Żaden z trybów nie jest polityką zatrzymującą ruch przed powstaniem tunelu.

Zdecyduj, za którym zdarzeniem ma podążać połączenie, zanim wybierzesz opcję, ponieważ wymagania wynikają całkowicie z tej odpowiedzi.

Dwie opcje, dwie różne sesje

Ustawienie automatycznego połączenia w Tunnelblicku oferuje tryb przy logowaniu i tryb przy starcie komputera, i nie są to wymienne etykiety. Pierwszy działa w sesji użytkownika, z pękiem kluczy tego użytkownika i możliwością zapytania. Drugi działa bez interfejsu i bez tej sesji, więc okno dialogowe nie ma komu się pojawić. Wszystko inne, co się różni, w tym które konfiguracje są dopuszczalne, wynika z tego podziału.

Działający profil prywatny na pulpicie nie jest więc automatycznie kandydatem do startu komputera.

Co daje uruchamianie przy logowaniu

Uruchamianie razem z sesją zachowuje normalny kontekst interaktywny. Aplikacja może poprosić o to, czego potrzebuje profil, czy to hasło konta, fraza hasła klucza czy monit MFA, a użytkownik jest obecny, by odpowiedzieć. Tunnelblick dokumentuje też ponowne uruchomienie przy logowaniu, gdy działał przy wylogowaniu, co jest zachowaniem powiązanym, ale osobnym, wartym potwierdzenia dla zainstalowanej wersji. Otwarcie aplikacji i ustanowienie użytecznego tunelu to dwa zdarzenia, a tylko drugie ma znaczenie dla zasobu, do którego chcesz dotrzeć.

Sprawdź to, wylogowując się i logując ponownie, a następnie sprawdź zasób prywatny, a nie ikonę. Ikona w pasku menu dowodzi, że aplikacja się uruchomiła; udane żądanie dowodzi, że tunel działa.

Czego naprawdę wymaga start komputera

Start komputera uruchamia OpenVPN bez interfejsu Tunnelblicka i bez zalogowanego użytkownika, więc żaden pęk kluczy użytkownika nie jest dostępny i żaden monit nie może się pojawić. Opcja wymaga współdzielonej konfiguracji dopuszczalnej dla tego trybu, a uwierzytelnianie musi działać bez nadzoru: klucz bez frazy hasła albo inne obsługiwane rozwiązanie zatwierdzone przez właściciela VPN. Usuwanie ochrony z klucza lub przechowywanie kodu MFA w pliku, aby wyszarzona kontrolka stała się wybieralna, nie jest konfiguracją, to obniżenie poziomu.

Połączenie przy starcie komputera może też przeżyć aplikację i sesję użytkownika. Zaplanuj, jak administrator je obserwuje i zatrzymuje, zamiast zakładać, że zamknięcie Tunnelblicka kończy tunel.

Żaden z nich nie blokuje ruchu

Wcześniejszy start nie jest polityką blokowania sieci. Sieć bazowa musi istnieć, zanim OpenVPN może się połączyć, a tymczasem inne aplikacje mogą jej swobodnie używać. Jeśli wymaganiem jest, by nic nie wychodziło przed podniesieniem tunelu, to osobny projekt egzekwowania z własną weryfikacją, a nie pole wyboru w kliencie VPN. Reguły macOS na żądanie i zapora rozwiązują różne części tego problemu.

Zapisz wymaganie jako zdanie, zanim dotkniesz ustawienia: ten Mac musi mieć tunel od logowania, od startu albo tylko podczas działania konkretnej aplikacji. Następnie sprawdź, które tryby zainstalowana wersja naprawdę obsługuje.

Objawem, który to zapoczątkował, jest zwykle tunel, który nigdy nie wstał. Odpowiedź prawie zawsze tkwi w modelu sesji, nie w profilu.