Tunnelblick: anslut vid inloggning eller vid start - välj en

Inställningen säger anslut automatiskt, och vad som händer efter att den tillämpats beror helt på vilket av de två lägena som valdes. Det ena startar tunneln när du loggar in på Macen; det andra startar den när datorn startar, utan någon användarsession alls. Det andra behöver inloggningsuppgifter som finns innan någon kan skriva ett lösenord, vilket är varför det ofta slutar med en anslutning som aldrig kommer upp. Inget av lägena är en policy som stoppar trafik innan tunneln finns.

Bestäm vilken händelse anslutningen ska följa innan du väljer alternativet, eftersom kraven helt följer av det svaret.

Två alternativ, två olika sessioner

Tunnelblicks inställning för automatisk anslutning erbjuder ett inloggningsläge och ett datorststartsläge, och de är inte utbytbara etiketter. Det första körs inom en användarsession, med den användarens nyckelring och möjligheten att fråga. Det andra körs utan gränssnittet och utan den sessionen, så en dialog har ingen att visas för. Allt annat som skiljer sig, inklusive vilka konfigurationer som är kvalificerade, följer av den uppdelningen.

En fungerande privat profil på skrivbordet är därför inte automatiskt en kandidat för datorstart.

Vad du får av att starta vid inloggning

Att starta med sessionen bevarar det normala interaktiva sammanhanget. Appen kan begära vad profilen behöver, vare sig det är ett kontolösenord, en nyckelfras eller en MFA-förfrågan, och användaren är närvarande för att svara. Tunnelblick dokumenterar också omstart vid inloggning när det kördes vid utloggning, vilket är ett besläktat men separat beteende som är värt att bekräfta för den installerade versionen. Att öppna appen och upprätta en användbar tunnel är två händelser, och bara den andra spelar roll för resursen du vill nå.

Testa det genom att logga ut och in igen, och kontrollera sedan den privata resursen i stället för ikonen. En ikon i menyraden bevisar att appen startade; en lyckad begäran bevisar att tunneln fungerar.

Vad datorstart faktiskt kräver

Datorstart kör OpenVPN utan Tunnelblicks gränssnitt och utan inloggad användare, så ingen användarnyckelring är tillgänglig och ingen förfrågan kan visas. Alternativet kräver en delad konfiguration som är kvalificerad för detta läge, och autentisering måste fungera utan övervakning: en nyckel utan lösenordsfras eller en annan stödd ordning som VPN-ägaren har godkänt. Att ta bort skydd från en nyckel eller lagra en MFA-kod i en fil så att en nedtonad kontroll blir valbar är inte konfiguration, det är en nedgradering.

En anslutning vid datorstart kan också överleva appen och användarsessionen. Planera hur en administratör observerar och stoppar den, i stället för att anta att avsluta Tunnelblick avslutar tunneln.

Ingen av dem blockerar trafik

Tidigare start är inte en policy för nätverksblockering. Det underliggande nätverket måste finnas innan OpenVPN kan ansluta, och under tiden kan andra program använda det fritt. Om kravet är att ingenting går ut innan tunneln är uppe, är det en separat tvingande design med sin egen verifiering, inte en kryssruta i VPN-klienten. macOS-regler för on-demand och en brandvägg löser olika delar av det problemet.

Skriv kravet som en mening innan du rör inställningen: den här Macen måste ha tunneln från inloggning och framåt, från start, eller bara medan ett visst program körs. Kontrollera sedan vilka lägen den installerade versionen faktiskt stöder.

Symtomet som startade detta är oftast en tunnel som aldrig kom upp. Svaret är nästan alltid sessionsmodellen, inte profilen.