Tunnelblick: підключення під час входу або завантаження - виберіть одне

Налаштування каже підключатися автоматично, і те, що станеться після його застосування, цілком залежить від того, який із двох режимів вибрано. Один запускає тунель, коли ви входите в Mac; інший запускає його під час завантаження комп'ютера, без жодного сеансу користувача. Другому потрібні облікові дані, які існують до того, як хтось зможе ввести пароль, тому він часто закінчується з'єднанням, яке так і не піднімається. Жоден із режимів не є політикою, що зупиняє трафік до появи тунелю.

Визначте, за якою подією має слідувати з'єднання, перш ніж вибирати параметр, адже вимоги цілком випливають із цієї відповіді.

Два варіанти, два різні сеанси

Налаштування автоматичного підключення в Tunnelblick пропонує режим під час входу та режим під час завантаження комп'ютера, і це не взаємозамінні назви. Перший працює в сеансі користувача, зі зв'язкою ключів цього користувача та можливістю запитати. Другий працює без інтерфейсу та без цього сеансу, тож діалогу немає перед ким з'явитися. Усе інше, що відрізняється, зокрема те, які конфігурації придатні, випливає з цього поділу.

Тому робочий приватний профіль на робочому столі не є автоматично кандидатом для завантаження комп'ютера.

Що дає запуск під час входу

Запуск разом із сеансом зберігає звичайний інтерактивний контекст. Застосунок може запитати те, що потрібно профілю, чи то пароль облікового запису, парольна фраза ключа або запит MFA, і користувач присутній, щоб відповісти. Tunnelblick також документує перезапуск під час входу, якщо застосунок працював під час виходу, що є пов'язаною, але окремою поведінкою, яку варто підтвердити для встановленої версії. Відкрити застосунок і встановити робочий тунель це дві події, і лише друга важлива для ресурсу, до якого ви хочете дістатися.

Перевірте це, вийшовши й увійшовши знову, а потім перевірте приватний ресурс, а не піктограму. Піктограма в рядку меню доводить, що застосунок запустився; успішний запит доводить, що тунель працює.

Що насправді вимагає завантаження комп'ютера

Завантаження комп'ютера запускає OpenVPN без інтерфейсу Tunnelblick і без користувача, який увійшов, тож зв'язка ключів користувача недоступна і жоден запит не може з'явитися. Варіант вимагає спільної конфігурації, придатної для цього режиму, а автентифікація має працювати без нагляду: ключ без парольної фрази або інша підтримувана схема, схвалена власником VPN. Зняття захисту з ключа або зберігання коду MFA у файлі, щоб сірий елемент керування став вибираним, це не конфігурація, а зниження рівня.

З'єднання під час завантаження комп'ютера може також пережити застосунок і сеанс користувача. Сплануйте, як адміністратор спостерігає за ним і зупиняє його, замість того щоб припускати, що вихід із Tunnelblick завершує тунель.

Жоден із них не блокує трафік

Раніший запуск не є політикою блокування мережі. Базова мережа має існувати до того, як OpenVPN зможе підключитися, а тим часом інші застосунки можуть вільно нею користуватися. Якщо вимога полягає в тому, щоб нічого не виходило до підняття тунелю, це окремий проєкт примусового застосування з власною перевіркою, а не прапорець у клієнті VPN. Правила macOS на вимогу та міжмережевий екран вирішують різні частини цієї проблеми.

Запишіть вимогу як речення, перш ніж торкатися налаштування: цей Mac повинен мати тунель від входу, від завантаження або лише поки працює певний застосунок. Потім перевірте, які режими справді підтримує встановлена версія.

Симптом, з якого все почалося, зазвичай це тунель, який так і не піднявся. Відповідь майже завжди в моделі сеансу, а не в профілі.