Кой вход се провали: достъпът до eduroam или VPN?
Присъединяването към eduroam е включване в мрежа за достъп; присъединяването към VPN е отделна връзка. Определете кой вход всъщност се провали, преди някой да смени порт.
Зад изречението „VPN не работи в eduroam“ стоят два входа и различни екипи отговарят за тях. Присъединяването към eduroam извежда устройството в мрежа за достъп; присъединяването към VPN изгражда втора връзка върху тази връзка. И двете може да се поддържат от една и съща институция, но идентификационните данни, профилът и етапът, на който се чупи, остават отделни. Определете кой от двата всъщност се провали, преди някой да редактира номер на порт. Всичко по-долу е организирано около това едно разклонение.
Един кампус, в който OpenVPN отговаряше на UDP 1194, е полезна история, а не рецепта за следващия.
Първо докажете страната на достъпа
Изключете тунела и заредете обикновена HTTP страница или captive portal. Ако се отвори, мрежата за достъп си върши работата и въпросът за VPN е наистина открит. Ако нищо не се зареди, неизправността е в асоциацията, акаунта или профила за включване. Никаква промяна на VPN няма да докосне нито едно от тези три.
Указанията за свързване с eduroam правят домашната институция източник на идентичността на потребителя. Когато помощник за конфигурация изгражда профил, изборът на посетената институция вместо домашната дава настройка, която не може да се удостовери. Използвайте това, което публикува домашната институция, вместо пакет със сертификати от друго място.
Изключването на проверка на сертификат или удостоверяване, за да се премине вход, превръща поправима грешна настройка в постоянна. Ако инсталираният профил идва от неодобрен източник, заменете го, преди да се занимавате с каквото и да е друго.
Кой притежава коя неизправност
След като достъпът работи, всеки останал въпрос има точно един собственик. Ето цялото разделение:
| Owner | Questions that belong to them |
|---|---|
| VPN operator | Server name, protocol, transport, port, client compatibility, VPN authentication |
| Visited network operator | Which traffic the local arrangement permits, and any observed path problem |
| Device or client administrator | Local policy, client build, server-identity errors |
Редът за транспорта е мястото, където се провалят повечето самостоятелни опити. Това, на което сървърът слуша, е фиксирано в конфигурацията му и редактирането на клиентския профил не може да го промени, затова поискайте от оператора текущия профил, вместо да превключвате TCP и UDP. Превключването променя само начина, по който клиентът се проваля.
От страната на посетената мрежа успешното удостоверяване в eduroam не казва нищо за това дали този път носи даден VPN транспорт, а самият таймаут не е доказателство за блокиране. И двете твърдения се правят ежедневно и всяко от тях се нуждае от наблюдение зад себе си.
От страната на устройството управлявано правило за сигурност, несъвместима версия на клиента и грешка в идентичността на сървъра са три различни неизправности. Обединяването им в един тикет забавя и трите.
Изберете доказателството преди теорията
Когато профилът е ваш за тестване и операторът го е одобрил, едно сравнение побеждава спор: свързва ли се същият профил от друга доверена мрежа? „Да“ сочи към посетения път, „не“ — към профила, сървъра или клиента. Направете този тест в рамките на правилата, които важат за акаунта, и никога чрез инсталиране на клиент, който никой не е одобрил.
Ако операторът публикува одобрен алтернативен профил, използвайте го. Измислянето на слушател на нов порт или разхлабването на правилата на мрежата дава резултат, който никой не може да защити по-късно, и скрива първоначалната неизправност.
Запишете резултата във форма, по която тримата собственици могат да действат, а не във формата, която се набира най-бързо. Голият таймаут не казва нищо полезно на VPN оператора, а неуспешното удостоверяване — също толкова малко на оператора на посетената мрежа.
Един ред в журнала често решава въпроса. TLS Error: TLS key negotiation failed to occur within 60 seconds сочи към пътя или порта, докато AUTH_FAILED означава, че тунелът е достигнат и идентификационните данни са отказани.
Напишете предаването в пет реда
Краткото предаване носи пет неща: посетеното място, времето на опита, одобрената версия на клиента, сървъра и транспорта, към които сочеше профилът, и най-ранната информативна грешка. Добавете дали обикновеният достъп е работил и дали е направено одобрено сравнение между мрежи, ако имате тези две. Заличите паролите, токените и частните ключове, преди това да напусне бюрото ви.
Ако VPN се удостовери, а след това частно приложение се провали, предайте този по-късен резултат отделно. И двата по-ранни въпроса вече са отговорени и сгъването им в нов доклад „все още е счупено“ връща всички в началото.
Пет реда, трима собственици, едно разклонение: това е цялото решение и обикновено се взема, преди някой да докосне номер на порт.