Que inicio de sesión fallou: o acceso a eduroam ou a VPN?
Unirse a eduroam é darse de alta nunha rede de acceso; unirse a unha VPN é unha relación aparte. Decida que inicio de sesión fallou de verdade antes de que alguén cambie un porto.
Detrás da frase «a VPN non funciona en eduroam» hai dous inicios de sesión, e xestiónaos equipos distintos. Unirse a eduroam leva o dispositivo a unha rede de acceso; unirse a unha VPN constrúe unha segunda relación sobre esa conexión. As dúas poden estar a cargo da mesma institución, pero as credenciais, o perfil e a etapa na que se rompe seguen separados. Avereigüe cal das dúas fallou de verdade antes de que alguén edite un número de porto. Todo o que segue organízase arredor desa única bifurcación.
Un campus onde OpenVPN respondía no UDP 1194 é historia útil, non unha receita para o seguinte.
Primeiro, demostre o lado do acceso
Apague o túnel e cargue unha páxina HTTP simple ou un portal cativo. Se se abre, a rede de acceso fai o seu traballo e a cuestión da VPN está genuinamente aberta. Se non se carga nada, o fallo está na asociación, na conta ou no perfil de alta. Ningún cambio na VPN tocará ningún deses tres.
A guía de conexión a eduroam converte a institución de orixe na fonte da identidade do usuario. Cando un asistente de configuración crea un perfil, escoller a institución visitada en lugar da de orixe produce unha configuración que non pode autenticarse. Use o que publique a institución de orixe e non un paquete de certificados vido doutro sitio.
Desactivar unha comprobación de certificado ou de autenticación para pasar un inicio de sesión converte unha mala configuración reparábel nun defecto permanente. Se o perfil instalado vén dunha fonte non aprobada, substitúao antes de tocar calquera outra cousa.
Quen é dono de cada fallo
Cando o acceso funciona, cada pregunta que queda ten exactamente un dono. Esta é toda a división:
| Owner | Questions that belong to them |
|---|---|
| VPN operator | Server name, protocol, transport, port, client compatibility, VPN authentication |
| Visited network operator | Which traffic the local arrangement permits, and any observed path problem |
| Device or client administrator | Local policy, client build, server-identity errors |
A fila do transporte é onde fallan a maioría dos intentos feitos por conta propia. Aquilo no que escoita o servidor está fixado na súa configuración, e editar o perfil do cliente non pode cambialo, así que pida ao operador o perfil actual en lugar de alternar TCP e UDP. Alternar só cambia a forma en que falla o cliente.
No lado visitado, unha autenticación de eduroam correcta non di nada sobre se ese camiño transporta un transporte VPN concreto, e un tempo de espera por si só non é proba dun bloqueo. As dúas afirmacións fanse a diario, e cada unha necesita unha observación detrás.
No lado do dispositivo, unha regra de seguridade xestionada, unha versión de cliente incompatible e un erro de identidade do servidor son tres fallos distintos. Agrupalos nunha soa incidencia ralentiza os tres.
Escolla a evidencia antes da teoría
Cando o perfil é seu para probalo e o operador o aprobou, unha comparación gaña unha discusión: o mesmo perfil conéctase desde outra rede de confianza? Un «si» apunta ao camiño visitado, un «non» apunta ao perfil, ao servidor ou ao cliente. Faga esa proba dentro das regras que se aplican á conta, e nunca instalando un cliente que ninguén aprobou.
Se o operador publica un perfil alternativo aprobado, úseo. Inventar un escoitante nun porto novo ou relaxar as regras da rede produce un resultado que ninguén poderá defender despois, e esconde o fallo orixinal.
Escriba o resultado na forma sobre a que os tres donos poden actuar, non na máis rápida de teclear. Un tempo de espera pelado non di nada útil ao operador da VPN, e un fallo de autenticación di igual de pouco ao operador da rede visitada.
Unha soa liña de rexistro adoita resolvelo. TLS Error: TLS key negotiation failed to occur within 60 seconds apunta ao camiño ou ao porto, mentres que AUTH_FAILED significa que se acadou o túnel e se rexeitaron as credenciais.
Escriba a transferencia en cinco liñas
Unha transferencia concisa leva cinco cousas: o lugar visitado, a hora do intento, a versión de cliente aprobada, o servidor e o transporte aos que apuntaba o perfil, e o primeiro erro informativo. Engada se o acceso ordinario funcionaba e se se fixo unha comparación aprobada entre redes, se ten eses dous datos. Redacte os contrasinais, os testemuños e as claves privadas antes de que isto salga do seu escritorio.
Se a VPN se autentica e despois falla unha aplicación privada, pase ese resultado posterior por separado. As dúas preguntas anteriores xa están contestadas daquela, e pregalas nun informe novo de «aínda roto» devolve a todos ao principio.
Cinco liñas, tres donos, unha bifurcación: esa é toda a decisión, e normalmente resólvese antes de que alguén toque un número de porto.