Hvilket login fejlede: eduroam-adgangen eller VPN’en?
At tilslutte sig eduroam er onboarding på et adgangsnetværk; at tilslutte sig en VPN er et separat forhold. Afgør, hvilket login der faktisk fejlede, før nogen ændrer en port.
Bag sætningen »VPN’en virker ikke på eduroam« ligger to logins, og forskellige teams ejer dem. At tilslutte sig eduroam bringer enheden på et adgangsnetværk; at tilslutte sig en VPN bygger et andet forhold oven på den forbindelse. Begge kan drives af samme institution, men legitimationsoplysningerne, profilen og det trin, hvor det bryder, forbliver adskilte. Find ud af, hvilken af de to der faktisk fejlede, før nogen retter et portnummer. Alt nedenfor er organiseret omkring den ene forgrening.
Et campus, hvor OpenVPN svarede på UDP 1194, er nyttig historie, ikke en opskrift til det næste.
Bevis først adgangssiden
Slå tunnelen fra, og indlæs en almindelig HTTP-side eller en captive portal. Hvis den åbner, gør adgangsnetværket sit arbejde, og VPN-spørgsmålet er reelt åbent. Hvis intet indlæses, sidder fejlen i associationen, kontoen eller onboardingprofilen. Ingen ændring af VPN’en vil røre nogen af de tre.
Vejledningen til eduroam-forbindelse gør hjeminstitutionen til kilden til brugerens identitet. Når en konfigurationsassistent bygger en profil, giver valget af den besøgte institution i stedet for hjeminstitutionen en opsætning, der ikke kan autentificere. Brug det, hjeminstitutionen udgiver, i stedet for et certifikatbundt fra et andet sted.
At slå en certifikat- eller autentifikationskontrol fra for at komme forbi et login gør en reparerbar fejlkonfiguration permanent. Hvis den installerede profil kommer fra en ikke-godkendt kilde, skal du erstatte den, før du undersøger noget andet.
Hvem ejer hvilken fejl
Når adgangen virker, har hvert tilbageværende spørgsmål præcis én ejer. Her er hele opdelingen:
| Owner | Questions that belong to them |
|---|---|
| VPN operator | Server name, protocol, transport, port, client compatibility, VPN authentication |
| Visited network operator | Which traffic the local arrangement permits, and any observed path problem |
| Device or client administrator | Local policy, client build, server-identity errors |
Transportrækken er stedet, hvor de fleste selv-forsøg fejler. Hvad serveren lytter på, er fastlagt i dens konfiguration, og redigering af klientprofilen kan ikke ændre det, så bed operatøren om den aktuelle profil i stedet for at skifte mellem TCP og UDP. Skiftet ændrer kun måden, klienten fejler på.
På den besøgte side siger en vellykket eduroam-autentificering intet om, hvorvidt den vej bærer en given VPN-transport, og en timeout alene er ikke bevis på blokering. Begge påstande fremsættes dagligt, og hver af dem kræver en observation bag sig.
På enhedssiden er en administreret sikkerhedsregel, en inkompatibel klientversion og en serveridentitetsfejl tre forskellige fejl. At samle dem i én sag forsinker alle tre.
Vælg beviset før teorien
Hvor profilen er din at teste, og operatøren har godkendt den, slår én sammenligning en diskussion: forbinder den samme profil fra et andet betroet netværk? Et »ja« peger på den besøgte vej, et »nej« på profilen, serveren eller klienten. Kør den test inden for de regler, der gælder for kontoen, og aldrig ved at installere en klient, som ingen har godkendt.
Hvis operatøren udgiver en godkendt alternativ profil, brug den. At opfinde en lytter på en ny port eller lempe netværkets regler giver et resultat, ingen kan forsvare senere, og det skjuler den oprindelige fejl.
Skriv resultatet i den form, de tre ejere kan handle på, ikke den form, der er hurtigst at skrive. En nøgen timeout siger intet nyttigt til VPN-operatøren, og en autentificeringsfejl siger den besøgte netværksoperatør lige så lidt.
Én loglinje afgør det ofte. TLS Error: TLS key negotiation failed to occur within 60 seconds peger på vejen eller porten, mens AUTH_FAILED betyder, at tunnelen blev nået, og at legitimationsoplysningerne blev afvist.
Skriv overdragelsen i fem linjer
En kort overdragelse bærer fem ting: det besøgte sted, forsøgets tidspunkt, den godkendte klientversion, den server og transport profilen pegede på, og den tidligste informative fejl. Tilføj, om almindelig adgang virkede, og om der blev lavet en godkendt sammenligning på tværs af netværk, hvis du har de to. Slør adgangskoder, tokens og private nøgler, før det forlader dit skrivebord.
Hvis VPN’en autentificerer, og en privat applikation derefter fejler, skal du give det senere resultat videre for sig. Begge de tidligere spørgsmål er besvaret på det tidspunkt, og at folde dem ind i en ny »stadig i stykker«-rapport sender alle tilbage til begyndelsen.
Fem linjer, tre ejere, én forgrening: det er hele beslutningen, og den er som regel afgjort, før nogen rører et portnummer.