¿Qué inicio de sesión falló: el acceso a eduroam o la VPN?

Detrás de la frase «la VPN no funciona en eduroam» hay dos inicios de sesión, y los gestionan equipos distintos. Unirse a eduroam lleva el dispositivo a una red de acceso; unirse a una VPN construye una segunda relación sobre esa conexión. Ambas pueden estar a cargo de la misma institución, pero las credenciales, el perfil y la etapa en la que se rompe siguen separados. Averigüe cuál de las dos falló realmente antes de que alguien edite un número de puerto. Todo lo que sigue se organiza en torno a esa única bifurcación.

Un campus donde OpenVPN respondía en el UDP 1194 es historia útil, no una receta para el siguiente.

Primero, demuestre el lado del acceso

Apague el túnel y cargue una página HTTP simple o un portal cautivo. Si se abre, la red de acceso hace su trabajo y la cuestión de la VPN está genuinamente abierta. Si no se carga nada, el fallo está en la asociación, en la cuenta o en el perfil de alta. Ningún cambio en la VPN tocará ninguno de esos tres.

La guía de conexión a eduroam convierte a la institución de origen en la fuente de la identidad del usuario. Cuando un asistente de configuración crea un perfil, elegir la institución visitada en lugar de la de origen produce una configuración que no puede autenticarse. Use lo que publique la institución de origen y no un paquete de certificados venido de otro sitio.

Desactivar una comprobación de certificado o de autenticación para pasar un inicio de sesión convierte una mala configuración reparable en permanente. Si el perfil instalado viene de una fuente no aprobada, sustitúyalo antes de tocar cualquier otra cosa.

Quién es dueño de cada fallo

Cuando el acceso funciona, cada pregunta que queda tiene exactamente un dueño. Esta es toda la división:

La fila del transporte es donde fallan la mayoría de los intentos hechos por cuenta propia. Aquello en lo que escucha el servidor está fijado en su configuración, y editar el perfil del cliente no puede cambiarlo, así que pida al operador el perfil actual en lugar de alternar TCP y UDP. Alternar solo cambia la forma en que falla el cliente.

En el lado visitado, una autenticación de eduroam correcta no dice nada sobre si ese camino transporta un transporte VPN concreto, y un tiempo de espera por sí solo no es prueba de un bloqueo. Ambas afirmaciones se hacen a diario, y cada una necesita una observación detrás.

En el lado del dispositivo, una regla de seguridad gestionada, una versión de cliente incompatible y un error de identidad del servidor son tres fallos distintos. Agruparlos en una sola incidencia ralentiza los tres.

Elija la evidencia antes que la teoría

Cuando el perfil es suyo para probarlo y el operador lo ha aprobado, una comparación gana una discusión: ¿el mismo perfil se conecta desde otra red de confianza? Un «sí» apunta al camino visitado, un «no» apunta al perfil, al servidor o al cliente. Haga esa prueba dentro de las reglas que se aplican a la cuenta, y nunca instalando un cliente que nadie aprobó.

Si el operador publica un perfil alternativo aprobado, úselo. Inventar un escucha en un puerto nuevo o relajar las reglas de la red produce un resultado que nadie podrá defender después, y esconde el fallo original.

Escriba el resultado en la forma sobre la que los tres dueños pueden actuar, no en la más rápida de teclear. Un tiempo de espera pelado no dice nada útil al operador de la VPN, y un fallo de autenticación le dice igual de poco al operador de la red visitada.

Una sola línea de registro suele resolverlo. TLS Error: TLS key negotiation failed to occur within 60 seconds apunta al camino o al puerto, mientras que AUTH_FAILED significa que se alcanzó el túnel y se rechazaron las credenciales.

Escriba el traspaso en cinco líneas

Un traspaso conciso lleva cinco cosas: el lugar visitado, la hora del intento, la versión de cliente aprobada, el servidor y el transporte a los que apuntaba el perfil, y el primer error informativo. Añada si el acceso ordinario funcionaba y si se hizo una comparación aprobada entre redes, si tiene esos dos datos. Redacte las contraseñas, los testigos y las claves privadas antes de que esto salga de su escritorio.

Si la VPN se autentica y después falla una aplicación privada, pase ese resultado posterior por separado. Las dos preguntas anteriores ya están contestadas para entonces, y plegarlas en un informe nuevo de «sigue roto» devuelve a todos al principio.

Cinco líneas, tres dueños, una bifurcación: esa es toda la decisión, y normalmente se resuelve antes de que alguien toque un número de puerto.