Quin inici de sessió ha fallat: l’accés a eduroam o la VPN?
Unir-se a eduroam és donar-se d’alta a una xarxa d’accés; unir-se a una VPN és una relació a part. Decidiu quin inici de sessió ha fallat realment abans que algú canviï un port.
Darrere de la frase «la VPN no funciona a eduroam» hi ha dos inicis de sessió, i els porten equips diferents. Unir-se a eduroam posa el dispositiu en una xarxa d’accés; unir-se a una VPN construeix una segona relació damunt d’aquesta connexió. Totes dues les pot gestionar la mateixa institució, però les credencials, el perfil i l’etapa on es trenca continuen separats. Esbrineu quina de les dues ha fallat realment abans que algú editi un número de port. Tot el que segueix s’organitza al voltant d’aquesta única bifurcació.
Un campus on OpenVPN responia a l’UDP 1194 és història útil, no una recepta per al següent.
Primer, demostreu el costat d’accés
Apagueu el túnel i carregueu una pàgina HTTP simple o un portal captiu. Si s’obre, la xarxa d’accés fa la seva feina i la qüestió de la VPN és genuïnament oberta. Si no es carrega res, la fallada és a l’associació, al compte o al perfil d’alta. Cap canvi a la VPN tocarà cap d’aquestes tres coses.
La guia de connexió a eduroam fa de la institució d’origen la font de la identitat de l’usuari. Quan un assistent de configuració construeix un perfil, triar la institució visitada en lloc de la d’origen produeix una configuració que no es pot autenticar. Feu servir el que publiqui la institució d’origen i no un paquet de certificats vingut d’un altre lloc.
Desactivar una comprovació de certificat o d’autenticació per passar un inici de sessió converteix una mala configuració arreglable en permanent. Si el perfil instal·lat ve d’una font no aprovada, substituïu-lo abans de tocar res més.
Qui és responsable de cada fallada
Quan l’accés funciona, cada pregunta que queda té exactament un responsable. Aquesta és tota la divisió:
| Owner | Questions that belong to them |
|---|---|
| VPN operator | Server name, protocol, transport, port, client compatibility, VPN authentication |
| Visited network operator | Which traffic the local arrangement permits, and any observed path problem |
| Device or client administrator | Local policy, client build, server-identity errors |
La fila del transport és on fallen la majoria dels intents fets pel compte propi. Allò on escolta el servidor està fixat a la seva configuració i editar el perfil del client no ho pot canviar, així que demaneu a l’operador el perfil actual en lloc d’alternar TCP i UDP. Alternar només canvia la manera com falla el client.
Al costat visitat, una autenticació eduroam correcta no diu res sobre si aquell camí transporta un transport VPN concret, i un temps d’espera no és prova d’un bloqueig. Les dues afirmacions es fan cada dia i cadascuna necessita una observació al darrere.
Al costat del dispositiu, una regla de seguretat gestionada, una versió de client incompatible i un error d’identitat del servidor són tres fallades diferents. Ajuntar-les en un sol tiquet alenteix les tres.
Trieu l’evidència abans de la teoria
Quan el perfil és vostre per provar-lo i l’operador l’ha aprovat, una comparació guanya una discussió: el mateix perfil es connecta des d’una altra xarxa de confiança? Un «sí» assenyala el camí visitat, un «no» assenyala el perfil, el servidor o el client. Feu aquesta prova dins les regles que s’apliquen al compte i mai instal·lant un client que ningú no ha aprovat.
Si l’operador publica un perfil alternatiu aprovat, feu-lo servir. Inventar un escoltador en un port nou o afluixar les regles de la xarxa produeix un resultat que ningú no podrà defensar després, i amaga la fallada original.
Escriviu el resultat en la forma sobre la qual els tres responsables poden actuar, no en la més ràpida d’escriure. Un temps d’espera pelat no diu res d’útil a l’operador de la VPN, i un error d’autenticació en diu igual de poc a l’operador de la xarxa visitada.
Una sola línia de registre sovint ho resol. TLS Error: TLS key negotiation failed to occur within 60 seconds apunta al camí o al port, mentre que AUTH_FAILED vol dir que s’ha arribat al túnel i s’han refusat les credencials.
Escriviu el traspàs en cinc línies
Un traspàs concís porta cinc coses: el lloc visitat, l’hora de l’intent, la versió de client aprovada, el servidor i el transport cap als quals apuntava el perfil, i el primer error informatiu. Afegiu si l’accés ordinari funcionava i si es va fer una comparació aprovada entre xarxes, si teniu aquestes dues dades. Redacteu les contrasenyes, els testimonis i les claus privades abans que això surti del vostre escriptori.
Si la VPN s’autentica i després falla una aplicació privada, passeu aquell resultat posterior a part. Les dues preguntes anteriors ja estan contestades en aquell moment, i plegar-les en un informe nou de «encara trencat» torna a enviar tothom al principi.
Cinc línies, tres responsables, una bifurcació: aquesta és tota la decisió, i normalment es resol abans que algú toqui un número de port.