איזו התחברות נכשלה: הגישה ל-eduroam או ה-VPN?
הצטרפות ל-eduroam היא כניסה לרשת גישה; הצטרפות ל-VPN היא קשר נפרד. קבעו איזו התחברות באמת נכשלה לפני שמישהו משנה פורט.
מאחורי המשפט «ה-VPN לא עובד ב-eduroam» עומדות שתי התחברויות, וצוותים שונים אחראים להן. הצטרפות ל-eduroam מכניסה את המכשיר לרשת גישה; הצטרפות ל-VPN בונה קשר שני מעל החיבור הזה. שני הדברים יכולים להיות מופעלים בידי אותו מוסד, אך פרטי ההתחברות, הפרופיל והשלב שבו הדברים נשברים נשארים נפרדים. בררו איזו משתי ההתחברויות באמת נכשלה לפני שמישהו עורך מספר פורט. כל מה שלהלן מסודר סביב ההסתעפות האחת הזאת.
קמפוס אחד שבו OpenVPN השיב על UDP 1194 הוא היסטוריה שימושית, לא מתכון לקמפוס הבא.
תחילה הוכיחו את צד הגישה
כבו את המנהרה וטענו דף HTTP רגיל או פורטל לכידה. אם הוא נפתח, רשת הגישה עושה את עבודתה ושאלת ה-VPN באמת פתוחה. אם שום דבר לא נטען, התקלה נמצאת בשיוך, בחשבון או בפרופיל ההצטרפות. שום שינוי ב-VPN לא ייגע באף אחד מהשלושה.
מדריך החיבור ל-eduroam הופך את מוסד הבית למקור הזהות של המשתמש. כאשר עוזר תצורה בונה פרופיל, בחירת המוסד המארח במקום מוסד הבית יוצרת הגדרה שאינה יכולה לאמת את עצמה. השתמשו במה שמוסד הבית מפרסם, ולא בחבילת תעודות שהגיעה ממקום אחר.
כיבוי בדיקת תעודה או אימות כדי לעבור התחברות הופך תצורה שגויה שאפשר לתקן לקבועה. אם הפרופיל המותקן הגיע ממקור לא מאושר, החליפו אותו לפני שאתם בודקים כל דבר אחר.
למי שייכת כל תקלה
לאחר שהגישה עובדת, לכל שאלה שנותרה יש בעלים אחד בדיוק. זהו כל החלוקה:
| Owner | Questions that belong to them |
|---|---|
| VPN operator | Server name, protocol, transport, port, client compatibility, VPN authentication |
| Visited network operator | Which traffic the local arrangement permits, and any observed path problem |
| Device or client administrator | Local policy, client build, server-identity errors |
שורת התעבורה היא המקום שבו רוב הניסיונות העצמיים נכשלים. מה שהשרת מאזין לו קבוע בתצורה שלו, ועריכת פרופיל הלקוח לא יכולה לשנות אותו, אז בקשו מהמפעיל את הפרופיל הנוכחי במקום להחליף בין TCP ל-UDP. ההחלפה משנה רק את אופן הכשל של הלקוח.
בצד המארח, אימות eduroam מוצלח לא אומר דבר על האם אותו נתיב נושא תעבורת VPN מסוימת, ופסק זמן לבדו אינו ראיה לחסימה. שתי הטענות נשמעות מדי יום, וכל אחת מהן צריכה תצפית מאחוריה.
בצד המכשיר, כלל אבטחה מנוהל, גרסת לקוח לא תואמת ושגיאת זהות שרת הם שלושה כשלים שונים. איחודם לכרטיס אחד מאט את שלושתם.
בחרו בראיה לפני התאוריה
כאשר הפרופיל שלכם לבדיקה והמפעיל אישר אותו, השוואה אחת מנצחת ויכוח: האם אותו פרופיל מתחבר מרשת מהימנה אחרת? «כן» מצביע על הנתיב המארח, «לא» מצביע על הפרופיל, השרת או הלקוח. הריצו את הבדיקה הזאת בתוך הכללים שחלים על החשבון, ולעולם לא בהתקנת לקוח שאיש לא אישר.
אם המפעיל מפרסם פרופיל חלופי מאושר, השתמשו בו. המצאת מאזין בפורט חדש או הרפיית כללי הרשת מניבה תוצאה שאיש לא יוכל להגן עליה בהמשך, והיא מסתירה את התקלה המקורית.
כתבו את התוצאה בצורה שהשלושה יכולים לפעול לפיה, לא בצורה המהירה להקלדה. פסק זמן חשוף לא אומר דבר שימושי למפעיל ה-VPN, וכשל אימות אומר למפעיל הרשת המארחת בדיוק אותו מעט.
שורת יומן אחת מכריעה את זה לעתים קרובות. TLS Error: TLS key negotiation failed to occur within 60 seconds מצביע על הנתיב או הפורט, ואילו AUTH_FAILED אומר שהגיעו למנהרה ושפרטי ההתחברות נדחו.
כתבו את המסירה בחמישה שורות
מסירה תמציתית נושאת חמישה דברים: המיקום המארח, שעת הניסיון, גרסת הלקוח המאושרת, השרת והתעבורה שהפרופיל הצביע עליהם, והשגיאה האינפורמטיבית המוקדמת ביותר. הוסיפו אם הגישה הרגילה עבדה ואם נערכה השוואה מאושרת בין רשתות, אם יש לכם את שני אלה. הסירו סיסמאות, אסימונים ומפתחות פרטיים לפני שזה יוצא משולחן העבודה שלכם.
אם ה-VPN מאמת ואז יישום פרטי נכשל, העבירו את התוצאה המאוחרת הזאת בנפרד. שתי השאלות הקודמות כבר נענו אז, וקיפול שלהן לדוח חדש של «עדיין שבור» מחזיר את כולם להתחלה.
חמישה שורות, שלושה בעלים, הסתעפות אחת: זה כל ההחלטה, והיא בדרך כלל מוכרעת לפני שמישהו נוגע במספר פורט.