Hokker oanmelding mislearre: eduroam-tagong of de VPN?
Jin by eduroam is tagong ta in tagongsnetwurk; jin by in VPN is in aparte relaasje. Bepaal hokker oanmelding eins mislearre, foardat immen in poarte feroaret.
Efter de sin „de VPN wurket net op eduroam“ sitte twa oanmeldings, en ferskate teams binne der ferantwurdlik foar. Jin by eduroam bringt it apparaat op in tagongsnetwurk; jin by in VPN bout in twadde relaasje boppe op dy ferbining. Beide kinne troch deselde ynstelling bestjoerd wurde, dochs bliuwe de oanmeldgegevens, it profyl en it stadium dêr’t it brekt apart. Fyn út hokker fan de twa eins mislearre, foardat immen in poartenûmer bewurket. Alles hjirûnder is om dy iene splitsing hinne organisearre.
Ien kampus dêr’t OpenVPN op UDP 1194 antwurde is nuttige skiednis, net in resept foar de folgjende.
Bewiisje earst de tagongskant
Sette de tunnel út en laad in gewoane HTTP-side of in captive portal. As dy iepengiet, docht it tagongsnetwurk syn wurk en is de VPN-fraach wier iepen. As neat ladt, sit de flater yn de assosjaasje, it akkount of it onboardingsprofyl. Gjin feroaring oan de VPN sil ien fan dy trije reitsje.
De lieding foar ferbining mei eduroam makket de thúsynstelling de boarne fan de identiteit fan de brûker. As in konfiguraasje-assistint in profyl bout, jout it kiezen fan de besochte ynstelling ynstee fan de thúsynstelling in opset dy’t him net ferifiearje kin. Brûk wat de thúsynstelling publisearret, ynstee fan in sertifikaatbondel fan earne oars.
It útsette fan in sertifikaat- of ferifikaasjekontrôle om by in oanmelding lâns te kommen makket in reparearbere ferkearde konfiguraasje permanint. As it ynstallearre profyl fan in net-goedkarde boarne komt, ferfange it dan foardat jo eat oars ûndersykje.
Wa is eigner fan hokker flater
Sadree’t de tagong wurket, hat elke oerbleaune fraach krekt ien eigner. Dit is de hiele ferdieling:
| Owner | Questions that belong to them |
|---|---|
| VPN operator | Server name, protocol, transport, port, client compatibility, VPN authentication |
| Visited network operator | Which traffic the local arrangement permits, and any observed path problem |
| Device or client administrator | Local policy, client build, server-identity errors |
De transportrige is it plak dêr’t de measte sels-dien-pogingen mislearje. Dêr’t de tsjinner nei harket is fêstlein yn syn konfiguraasje, en it bewurkjen fan it kliïntprofyl kin dat net feroarje, dus freegje de operator om it aktuele profyl ynstee fan te wikseljen tusken TCP en UDP. Wikseljen feroaret allinnich de manier dêr’t de kliïnt op mislearret.
Oan de besochte kant seit in suksesfolle eduroam-ferifikaasje neat oer de fraach oft dat paad in beskaat VPN-transport draacht, en in timeout allinnich is gjin bewiis fan blokkearjen. Beide bewearings wurde deistich makke, en elk hat in observearring efter him nedich.
Oan de apparaatkant binne in beheard feiligensregel, in ynkompatibele kliïntbou en in tsjinner-identiteitsflater trije ferskate flaters. Se yn ien ticket bondelje fertraget alle trije.
Kies it bewiis foar de teory
Dêr’t it profyl fan jo is om te testen en de operator it goedkard hat, wint ien ferliking in diskusje: ferbynt itselde profyl him fan in oar fertroud netwurk? In „ja“ wiist nei it besochte paad, in „nee“ nei it profyl, de tsjinner of de kliïnt. Rin dy test yn de regels dy’t foar it akkount jilde, en nea troch in kliïnt te ynstallearjen dy’t nimmen goedkard hat.
As de operator in goedkard alternatyf profyl publisearret, brûk it dan. In listener betinke op in nije poarte of de regels fan it netwurk fersoepje jout in útkomst dy’t nimmen letter ferdigenje kin, en it ferberget de oarspronklike flater.
Skriuw it resultaat yn de foarm dêr’t de trije eigners op hannelje kinne, net yn de foarm dy’t it fluchst te typen is. In keale timeout seit de VPN-operator neat nuttichs, en in ferifikaasjeflater seit de operator fan it besochte netwurk krekt like min.
Ien logrigel beslist it faak. TLS Error: TLS key negotiation failed to occur within 60 seconds wiist nei it paad of de poarte, wylst AUTH_FAILED betsjut dat de tunnel berikt waard en de oanmeldgegevens wegere binne.
Skriuw de oerdracht yn fiif rigels
In bondige oerdracht draacht fiif dingen: it besochte plak, de tiid fan de poging, de goedkarde kliïntferzje, de tsjinner en it transport dêr’t it profyl nei wiisde, en de ierste ynformatyve flater. Foegje ta oft gewoane tagong wurke en oft in goedkarde fergeliking tusken netwurken makke is, as jo dy beide hawwe. Ferwiderje wachtwurden, tokens en priveesleutels foardat dit jo buro ferlit.
As de VPN ferifiearret en dan in privee-applikaasje mislearret, jou dan dat lettere resultaat apart troch. Beide eardere fragen binne dan beantwurde, en se yn in nij „noch altyd stikken“-rapport te ferwurkjen stjoert elkenien werom nei it begjin.
Fiif rigels, trije eigners, ien splitsing: dat is de hiele beslissing, en dy wurdt meastentiids beslist foardat immen in poartenûmer oanrekket.