Які ўваход не ўдаўся: доступ да eduroam ці VPN?

За фразай «VPN не працуе ў eduroam» стаяць два ўваходы, і імі займаюцца розныя каманды. Далучэнне да eduroam выводзіць прыладу ў сетку доступу; далучэнне да VPN будуе другія адносіны паверх гэтага злучэння. Абодва можа весці адна ўстанова, але ўліковыя даныя, профіль і этап, на якім усё ламаецца, застаюцца асобнымі. Вызначце, які з двух насамрэч не ўдаўся, перш чым хто-небудзь зменіць нумар порта. Усё ніжэй арганізавана вакол гэтага аднаго развілка.

Адзін кампус, дзе OpenVPN адказваў на UDP 1194, — карысная гісторыя, а не рэцэпт для наступнага.

Спачатку дакажыце бок доступу

Выключыце тунель і загрузіце звычайную HTTP-старонку або captive portal. Калі яна адкрываецца, сетка доступу робіць сваю справу, і пытанне пра VPN сапраўды адкрытае. Калі нічога не грузіцца, няспраўнасць у асацыяцыі, уліковым запісе або профілі падключэння. Ніякае змяненне VPN не закране ніводнае з гэтых трох.

Кіраўніцтва па падключэнні да eduroam робіць хатнюю ўстанову крыніцай ідэнтычнасці карыстальніка. Калі памочнік наладкі будуе профіль, выбар наведанай установы замест хатняй дае наладку, якая не можа прайсці аўтэнтыфікацыю. Выкарыстоўвайце тое, што публікуе хатняя ўстанова, а не пакет сертыфікатаў з іншага месца.

Выключэнне праверкі сертыфіката або аўтэнтыфікацыі дзеля абыходу ўваходу ператварае выпраўную памылку наладкі ў пастаянную. Калі ўсталяваны профіль прыйшоў з неадабранай крыніцы, заменіце яго, перш чым займацца чым-небудзь іншым.

Хто за якую няспраўнасць адказвае

Калі доступ працуе, кожнае пытанне, што засталося, мае роўна аднаго ўладальніка. Вось увесь падзел:

Радок транспарту — гэта месца, дзе правальваецца большасць самастойных спробаў. Тое, што сервер слухае, зафіксавана ў яго наладзе, і рэдагаванне кліенцкага профілю гэтага не зменіць, таму прасіце ў аператара актуальны профіль, а не пераключайце TCP і UDP. Пераключэнне мяняе толькі спосаб, якім кліент церпіць няўдачу.

На наведаным баку паспяховая аўтэнтыфікацыя eduroam нічога не кажа пра тое, ці нясе гэты шлях пэўны транспарт VPN, і адзін тайм-аўт не з’яўляецца доказам блакіроўкі. Абодва сцверджанні робяцца штодня, і кожнаму патрэбна назіранне за сабой.

На баку прылады кіраванае правіла бяспекі, несумяшчальная зборка кліента і памылка ідэнтычнасці сервера — гэта тры розныя няспраўнасці. Звядзенне іх у адзін тыкет запавольвае ўсе тры.

Выберыце доказы раней за тэорыю

Там, дзе профіль ваш для праверкі і аператар яго адабрыў, адно параўнанне мацнейшае за спрэчку: ці падключаецца той самы профіль з іншай даверанай сеткі? «Так» паказвае на наведаны шлях, «не» — на профіль, сервер або кліент. Правядзіце гэты тэст у межах правілаў, якія дзейнічаюць для ўліковага запісу, і ніколі не ўсталёўваючы кліент, якога ніхто не адабраў.

Калі аператар публікуе адабраны альтэрнатыўны профіль, выкарыстайце яго. Выдумванне слухача на новым порце або паслабленне правілаў сеткі дае вынік, які потым ніхто не зможа абараніць, і хавае першапачатковую няспраўнасць.

Запішыце вынік у форме, з якой трое ўладальнікаў могуць дзейнічаць, а не ў той, якую хутчэй набраць. Голы тайм-аўт не кажа аператару VPN нічога карыснага, а памылка аўтэнтыфікацыі — аператару наведанай сеткі гэтак жа мала.

Адзін радок журнала часта ўсё вырашае. TLS Error: TLS key negotiation failed to occur within 60 seconds паказвае на шлях або порт, а AUTH_FAILED азначае, што тунель дасягнуты, а ўліковыя даныя адхілены.

Напішыце перадачу ў пяць радкоў

Сціплая перадача нясе пяць рэчаў: наведанае месца, час спробы, адабраную версію кліента, сервер і транспарт, на якія ўказваў профіль, і самую раннюю інфарматыўную памылку. Дадайце, ці працаваў звычайны доступ і ці было зроблена адабранае параўнанне паміж сеткамі, калі ў вас ёсць гэтыя два. Выдаліце паролі, токены і прыватныя ключы, перш чым гэта пакіне ваш стол.

Калі VPN праходзіць аўтэнтыфікацыю, а затым падае прыватная праграма, перадайце гэты позні вынік асобна. Абодва папярэднія пытанні на той момант ужо адказаны, і складанне іх у новую справаздачу «усё яшчэ зламана» вяртае ўсіх у пачатак.

Пяць радкоў, трое ўладальнікаў, адзін развілок: вось і ўсё рашэнне, і звычайна яно вырашаецца раней, чым хто-небудзь дакранецца да нумара порта.