Tunnelblick: подключение при входе или при загрузке - выберите один

В настройке сказано подключаться автоматически, и то, что произойдёт после её применения, целиком зависит от того, какой из двух режимов выбран. Один запускает туннель при входе в Mac; другой запускает его при загрузке компьютера, вообще без сеанса пользователя. Второму нужны учётные данные, которые существуют до того, как кто-либо сможет ввести пароль, поэтому он часто заканчивается соединением, которое так и не поднимается. Ни один из режимов не является политикой, останавливающей трафик до появления туннеля.

Определите, за каким событием должно следовать соединение, прежде чем выбирать вариант, потому что требования целиком вытекают из этого ответа.

Два варианта, два разных сеанса

Настройка автоматического подключения в Tunnelblick предлагает режим при входе и режим при загрузке компьютера, и это не взаимозаменяемые названия. Первый работает внутри сеанса пользователя, со связкой ключей этого пользователя и возможностью запросить. Второй работает без интерфейса и без этого сеанса, поэтому диалогу не перед кем появиться. Всё остальное, что различается, включая то, какие конфигурации подходят, следует из этого разделения.

Поэтому работающий приватный профиль на рабочем столе не является автоматически кандидатом для загрузки компьютера.

Что даёт запуск при входе

Запуск вместе с сеансом сохраняет обычный интерактивный контекст. Приложение может запросить то, что нужно профилю, будь то пароль учётной записи, парольная фраза ключа или запрос MFA, и пользователь находится рядом, чтобы ответить. Tunnelblick также документирует перезапуск при входе, если приложение работало при выходе, что является связанным, но отдельным поведением, которое стоит подтвердить для установленной версии. Открыть приложение и установить работоспособный туннель - это два события, и только второе важно для ресурса, к которому вы хотите попасть.

Проверьте это, выйдя и снова войдя, а затем проверьте приватный ресурс, а не значок. Значок в строке меню доказывает, что приложение запустилось; успешный запрос доказывает, что туннель работает.

Что на самом деле требует загрузка компьютера

Загрузка компьютера запускает OpenVPN без интерфейса Tunnelblick и без вошедшего пользователя, поэтому связка ключей пользователя недоступна и никакой запрос не может появиться. Вариант требует общей конфигурации, подходящей для этого режима, а аутентификация должна работать без надзора: ключ без парольной фразы или другая поддерживаемая схема, одобренная владельцем VPN. Снятие защиты с ключа или хранение кода MFA в файле, чтобы серый элемент управления стал выбираемым, это не конфигурация, а понижение уровня.

Соединение при загрузке компьютера может также пережить приложение и сеанс пользователя. Спланируйте, как администратор наблюдает за ним и останавливает его, вместо того чтобы предполагать, что выход из Tunnelblick завершает туннель.

Ни один из них не блокирует трафик

Более ранний запуск не является политикой блокировки сети. Базовая сеть должна существовать до того, как OpenVPN сможет подключиться, а тем временем другие приложения могут свободно ею пользоваться. Если требование состоит в том, чтобы ничего не уходило до поднятия туннеля, это отдельный проект принудительного применения с собственной проверкой, а не флажок в клиенте VPN. Правила macOS по запросу и межсетевой экран решают разные части этой задачи.

Запишите требование как предложение, прежде чем трогать настройку: этот Mac должен иметь туннель с момента входа, с момента загрузки или только пока работает определённое приложение. Затем проверьте, какие режимы действительно поддерживает установленная версия.

Симптом, с которого всё началось, обычно представляет собой туннель, который так и не поднялся. Ответ почти всегда в модели сеанса, а не в профиле.