Tunnelblick: ligar no início de sessão ou no arranque - escolha uma

A definição diz para ligar automaticamente, e o que acontece depois de a aplicar depende inteiramente de qual dos dois modos foi escolhido. Um inicia o túnel quando inicia sessão no Mac; o outro inicia-o quando o computador arranca, sem qualquer sessão de utilizador. O segundo precisa de credenciais que existam antes de alguém poder escrever uma palavra-passe, e por isso acaba muitas vezes numa ligação que nunca sobe. Nenhum dos modos é uma política que pare o tráfego antes de o túnel existir.

Decida que evento a ligação deve seguir antes de escolher a opção, porque os requisitos decorrem inteiramente dessa resposta.

Duas opções, duas sessões diferentes

A definição de ligação automática do Tunnelblick oferece um modo no início de sessão e um modo no arranque do computador, e não são etiquetas intercambiáveis. O primeiro corre dentro de uma sessão de utilizador, com o porta-chaves desse utilizador e a capacidade de perguntar. O segundo corre sem a interface e sem essa sessão, pelo que uma caixa de diálogo não tem a quem aparecer. Tudo o resto que difere, incluindo que configurações são elegíveis, decorre dessa separação.

Um perfil privado funcional no ambiente de trabalho não é, portanto, automaticamente candidato ao arranque do computador.

O que o início no arranque de sessão lhe dá

Começar com a sessão preserva o contexto interativo normal. A aplicação pode pedir o que o perfil precisar, quer seja uma palavra-passe de conta, uma frase de acesso da chave ou um pedido MFA, e o utilizador está presente para responder. O Tunnelblick documenta também o relançamento no início de sessão quando estava em execução ao terminar sessão, um comportamento relacionado mas separado que vale a pena confirmar para a versão instalada. Abrir a aplicação e estabelecer um túnel utilizável são dois eventos, e só o segundo importa para o recurso a que quer chegar.

Teste-o terminando e reiniciando a sessão, e depois verifique o recurso privado em vez do ícone. Um ícone na barra de menus prova que a aplicação arrancou; um pedido bem-sucedido prova que o túnel funciona.

O que o arranque do computador exige realmente

O arranque do computador executa o OpenVPN sem a interface do Tunnelblick e sem utilizador com sessão iniciada, pelo que não há porta-chaves de utilizador disponível nem pode aparecer qualquer pedido. A opção exige uma configuração partilhada elegível para este modo, e a autenticação tem de funcionar sem supervisão: uma chave sem frase de acesso ou outra disposição suportada que o proprietário da VPN tenha aprovado. Remover a proteção de uma chave ou guardar um código MFA num ficheiro para que um controlo esbatido fique selecionável não é configuração, é uma degradação.

Uma ligação no arranque do computador também pode sobreviver à aplicação e à sessão de utilizador. Planeie como um administrador a observa e a termina, em vez de assumir que sair do Tunnelblick acaba com o túnel.

Nenhum deles bloqueia o tráfego

Arrancar mais cedo não é uma política de bloqueio de rede. A rede subjacente tem de existir antes de o OpenVPN poder ligar-se, e entretanto outras aplicações podem usá-la livremente. Se o requisito é que nada saia antes de o túnel estar de pé, isso é um desenho de aplicação forçada separado com a sua própria verificação, não uma caixa de seleção no cliente VPN. As regras a pedido do macOS e uma firewall resolvem partes diferentes desse problema.

Escreva o requisito como uma frase antes de tocar na definição: este Mac tem de ter o túnel a partir do início de sessão, do arranque, ou apenas enquanto uma aplicação específica estiver a correr. Depois verifique que modos a versão instalada suporta realmente.

O sintoma que iniciou isto é normalmente um túnel que nunca subiu. A resposta é quase sempre o modelo de sessão, não o perfil.