Kiu salutado malsukcesis: la eduroam-aliro aŭ la VPN?
Aliĝi al eduroam estas eniro en alirretan reton; aliĝi al VPN estas aparta rilato. Decidu, kiu salutado efektive malsukcesis, antaŭ ol iu ŝanĝas pordon.
Malantaŭ la frazo «la VPN ne funkcias en eduroam» staras du salutadoj, kaj malsamaj teamoj posedas ilin. Aliĝi al eduroam portas la aparaton en alirreton; aliĝi al VPN konstruas duan rilaton sur tiu konekto. Ambaŭ povas esti funkciigataj de la sama institucio, tamen la legitimiloj, la profilo kaj la etapo, kie ĝi rompiĝas, restas apartaj. Eltrovu, kiu el la du efektive malsukcesis, antaŭ ol iu redaktas pordan numeron. Ĉio sube estas organizita ĉirkaŭ tiu unu disforkiĝo.
Unu kampuso, kie OpenVPN respondis sur UDP 1194, estas utila historio, ne recepto por la sekva.
Unue pruvu la aliran flankon
Malŝaltu la tunelon kaj ŝargu ordinaran HTTP-paĝon aŭ kaptan portalon. Se ĝi malfermiĝas, la alirreto faras sian taskon kaj la demando pri VPN estas vere malferma. Se nenio ŝargiĝas, la fuŝo sidas en la asocio, la konto aŭ la enira profilo. Neniu ŝanĝo al la VPN tuŝos iun el tiuj tri.
La gvidilo pri konekto al eduroam faras la hejman institucion la fonto de la identeco de la uzanto. Kiam agorda asistanto konstruas profilon, elekti la vizitatan institucion anstataŭ la hejman produktas agordon, kiu ne povas aŭtentikigi. Uzu tion, kion publikigas la hejma institucio, anstataŭ certifikujan pakon el aliloke.
Malŝalti kontrolon de certifikujo aŭ aŭtentikigo por preterpasi salutadon transformas ripareblan malĝustan agordon en daŭran. Se la instalita profilo venas el neaprobita fonto, anstataŭigu ĝin antaŭ ol okupiĝi pri io ajn alia.
Kiu posedas kiun fuŝon
Post kiam la aliro funkcias, ĉiu restanta demando havas ekzakte unu posedanton. Jen la tuta divido:
| Owner | Questions that belong to them |
|---|---|
| VPN operator | Server name, protocol, transport, port, client compatibility, VPN authentication |
| Visited network operator | Which traffic the local arrangement permits, and any observed path problem |
| Device or client administrator | Local policy, client build, server-identity errors |
La transporta vico estas la loko, kie plej multaj memfaraj provoj malsukcesas. Tio, kion la servilo aŭskultas, estas fiksita en ĝia agordo, kaj redakti la klientan profilon ne povas tion ŝanĝi, do petu de la operatoro la nunan profilon anstataŭ ŝalti inter TCP kaj UDP. Ŝaltado nur ŝanĝas la manieron, kiel la kliento malsukcesas.
Ĉe la vizitata flanko, sukcesa aŭtentikigo de eduroam diras nenion pri tio, ĉu tiu vojo portas donitan VPN-transporton, kaj tempolimo sola ne estas pruvo de blokado. Ambaŭ asertoj fariĝas ĉiutage, kaj ĉiu bezonas observon malantaŭ si.
Ĉe la aparata flanko, administrata sekureca regulo, nekompatibla klienta versio kaj servila identeca eraro estas tri malsamaj fuŝoj. Kunigi ilin en unu bileton malrapidigas ĉiujn tri.
Elektu la pruvon antaŭ la teorio
Kie la profilo estas via por testi kaj la operatoro aprobis ĝin, unu komparo venkas argumenton: ĉu la sama profilo konektiĝas el alia fidinda reto? «Jes» montras al la vizitata vojo, «ne» al la profilo, la servilo aŭ la kliento. Faru tiun teston ene de la reguloj, kiuj validas por la konto, kaj neniam per instalado de kliento, kiun neniu aprobis.
Se la operatoro publikigas aprobitan alternativan profilon, uzu ĝin. Elpensi aŭskultanton sur nova pordo aŭ malstreĉi la regulojn de la reto produktas rezulton, kiun poste neniu povas defendi, kaj ĝi kaŝas la originan fuŝon.
Skribu la rezulton en la formo, laŭ kiu la tri posedantoj povas agi, ne en la formo plej rapida tajpi. Nuda tempolimo diras nenion utilan al la VPN-operatoro, kaj aŭtentikiga malsukceso diras same malmulte al la operatoro de la vizitata reto.
Unu protokola linio ofte decidas ĝin. TLS Error: TLS key negotiation failed to occur within 60 seconds montras al la vojo aŭ la pordo, dum AUTH_FAILED signifas, ke la tunelo estis atingita kaj la legitimiloj rifuzitaj.
Skribu la transdonon en kvin linioj
Konciza transdono portas kvin aferojn: la vizitatan lokon, la tempon de la provo, la aprobitan klientan version, la servilon kaj transporton al kiuj montris la profilo, kaj la plej frue informan eraron. Aldonu, ĉu ordinara aliro funkciis kaj ĉu aprobita retkruca komparo estis farita, se vi havas tiujn du. Forigu pasvortojn, ĵetonojn kaj privatajn ŝlosilojn antaŭ ol tio forlasas vian skribotablon.
Se la VPN aŭtentikiĝas kaj poste privata aplikaĵo malsukcesas, transdonu tiun postan rezulton aparte. Ambaŭ pli fruaj demandoj jam estas responditaj tiam, kaj faldi ilin en novan raporton «ankoraŭ rompita» resendas ĉiujn al la komenco.
Kvin linioj, tri posedantoj, unu disforkiĝo: tio estas la tuta decido, kaj ĝi kutime solviĝas antaŭ ol iu tuŝas pordan numeron.