Které přihlášení selhalo: přístup k eduroam, nebo VPN?

Za větou „VPN na eduroam nefunguje“ stojí dvě přihlášení a vlastní je různé týmy. Připojení k eduroam dostane zařízení do přístupové sítě; připojení k VPN staví druhý vztah nad tímto spojením. Obojí může provozovat stejná instituce, ale přihlašovací údaje, profil i fáze, ve které se to láme, zůstávají oddělené. Zjistěte, které ze dvou skutečně selhalo, dřív než někdo upraví číslo portu. Vše níže je uspořádáno kolem tohoto jednoho rozcestí.

Jeden kampus, kde OpenVPN odpovídalo na UDP 1194, je užitečná historie, ne recept pro ten další.

Nejdřív dokažte stranu přístupu

Vypněte tunel a načtěte obyčejnou HTTP stránku nebo captive portal. Pokud se otevře, přístupová síť dělá svou práci a otázka VPN je skutečně otevřená. Pokud se nic nenačte, závada je v asociaci, v účtu nebo v profilu pro zapojení. Žádná změna VPN se nedotkne ani jedné z těch tří věcí.

Pokyny pro připojení k eduroam činí domovskou instituci zdrojem identity uživatele. Když konfigurační asistent sestavuje profil, volba navštívené instituce místo domovské vytvoří nastavení, které se nedokáže autentizovat. Použijte to, co zveřejňuje domovská instituce, a ne balík certifikátů odjinud.

Vypnutí kontroly certifikátu nebo autentizace, jen aby přihlášení prošlo, mění opravitelnou chybnou konfiguraci na trvalou. Pokud nainstalovaný profil pochází z neschváleného zdroje, nahraďte ho dřív, než se pustíte do čehokoli dalšího.

Kdo vlastní kterou závadu

Jakmile přístup funguje, má každá zbývající otázka právě jednoho vlastníka. Tady je celé rozdělení:

Řádek s transportem je místo, kde selhává většina pokusů udělaných svépomocí. To, na čem server naslouchá, je pevně dané v jeho konfiguraci a úprava klientského profilu to nezmění, takže operátora požádejte o aktuální profil, místo abyste přepínali TCP a UDP. Přepínání mění jen způsob, jakým klient selhává.

Na navštívené straně úspěšná autentizace eduroam neříká nic o tom, zda ta cesta přenáší daný transport VPN, a samotný timeout není důkazem blokování. Obě tvrzení se dělají denně a každé za sebou potřebuje pozorování.

Na straně zařízení jsou spravované bezpečnostní pravidlo, nekompatibilní sestavení klienta a chyba identity serveru tři různé závady. Sloučení do jednoho tiketu všechny tři zpomalí.

Vyberte důkaz dřív než teorii

Tam, kde je profil váš na testování a operátor ho schválil, jedno srovnání porazí hádku: připojí se stejný profil z jiné důvěryhodné sítě? „Ano“ ukazuje na navštívenou cestu, „ne“ na profil, server nebo klienta. Ten test spusťte v mezích pravidel platných pro účet a nikdy ne instalací klienta, kterého nikdo neschválil.

Pokud operátor zveřejní schválený alternativní profil, použijte ho. Vymýšlení posluchače na novém portu nebo povolování síťových pravidel dává výsledek, který pak nikdo neobhájí, a skrývá původní závadu.

Výsledek zapište ve formě, se kterou tři vlastníci mohou pracovat, ne v té, která se nejrychleji napíše. Holý timeout neřekne operátorovi VPN nic užitečného a selhání autentizace řekne operátorovi navštívené sítě stejně málo.

Často to rozhodne jediný řádek logu. TLS Error: TLS key negotiation failed to occur within 60 seconds ukazuje na cestu nebo port, zatímco AUTH_FAILED znamená, že tunel byl dosažen a přihlašovací údaje byly odmítnuty.

Napište předání v pěti řádcích

Stručné předání nese pět věcí: navštívené místo, čas pokusu, schválenou verzi klienta, server a transport, na které profil ukazoval, a nejčasnější informativní chybu. Přidejte, zda fungoval běžný přístup a zda bylo provedeno schválené srovnání mezi sítěmi, pokud tyto dvě máte. Předtím, než to opustí váš stůl, začerněte hesla, tokeny a soukromé klíče.

Pokud se VPN autentizuje a potom selže soukromá aplikace, předejte tento pozdější výsledek zvlášť. Obě dřívější otázky jsou v tu chvíli zodpovězené a jejich složení do nové zprávy „stále rozbité“ pošle všechny zpátky na začátek.

Pět řádků, tři vlastníci, jedno rozcestí: to je celé rozhodnutí a obvykle se vyřeší dřív, než se někdo dotkne čísla portu.