どちらのログインが失敗したのか：eduroam の接続か VPN か
eduroam への参加はアクセスネットワークへの入構であり、VPN への参加は別の関係です。誰かがポートを変える前に、どちらのログインが実際に失敗したのかを切り分けます。
「eduroam では VPN が動かない」という一言の裏には二つのログインがあり、それぞれ別のチームが担当しています。eduroam に参加すると端末はアクセスネットワークに入ります。VPN に参加することは、その接続の上に二つ目の関係を築くことです。両方を同じ機関が運用していても、資格情報、プロファイル、そして破綻する段階は別々のままです。誰かがポート番号を編集する前に二つのどちらが実際に失敗したのかを突き止めることが、以下のすべての出発点です。
あるキャンパスで OpenVPN が UDP 1194 で応答したのは有用な履歴であり、次のキャンパス向けの処方箋ではありません。
まずアクセス側を証明する
トンネルを切って、普通の HTTP ページかキャプティブポータルを開いてください。開けばアクセスネットワークは役割を果たしており、VPN の問いは本当に未解決です。何も読み込めなければ、不具合は関連付け、アカウント、または導入プロファイルにあります。VPN をどう変えても、その三つのどれにも触れません。
eduroam 接続の手引き は、利用者の身元の出所を所属機関に定めています。構成アシスタントがプロファイルを作るとき、所属機関ではなく訪問先機関を選ぶと、認証できない設定ができあがります。他から持ち込んだ証明書一式ではなく、所属機関が公開しているものを使ってください。
ログインを通すために証明書や認証の確認を切ると、直せる設定ミスが恒久的なものになります。導入済みのプロファイルが承認されていない出所のものなら、他の何かを調べる前にそれを入れ替えてください。
どの障害を誰が持つか
アクセスが機能した後は、残るどの問いにも持ち主がちょうど一人います。分担はこれだけです。
| Owner | Questions that belong to them |
|---|---|
| VPN operator | Server name, protocol, transport, port, client compatibility, VPN authentication |
| Visited network operator | Which traffic the local arrangement permits, and any observed path problem |
| Device or client administrator | Local policy, client build, server-identity errors |
トランスポートの行が、自作の試みがたいてい失敗する場所です。サーバーが何を待ち受けるかは設定で固定されており、クライアントのプロファイルを編集しても変えられません。ですから TCP と UDP を切り替えるのではなく、運用担当者に現在のプロファイルを尋ねてください。切り替えはクライアントの失敗の仕方が変わるだけです。
訪問先側では、eduroam の認証が成功したところで、その経路が特定の VPN トランスポートを運ぶかどうかは何も分かりませんし、タイムアウトだけでは遮断の証拠になりません。どちらの主張も日々なされており、どちらにも背後に観測が必要です。
端末側では、管理されたセキュリティ規則、互換性のないクライアントの版、サーバー識別の誤りは三つの別の障害です。これらを一つのチケットにまとめると、三つとも遅くなります。
理論より先に証拠を選ぶ
プロファイルが自分で試してよいもので、運用担当者が承認している場合、一つの比較が議論に勝ります。同じプロファイルは別の信頼できるネットワークから接続できるでしょうか。はいなら訪問先の経路、いいえならプロファイル、サーバー、クライアントのいずれかを指します。その試験はアカウントに適用される規則の範囲で行い、誰も承認していないクライアントを導入して行うことは決してしないでください。
運用担当者が承認済みの代替プロファイルを公開しているなら、それを使ってください。新しいポートで待ち受けを作ったりネットワークの規則を緩めたりすると、後から誰も擁護できない結果が生まれ、元の障害が隠れます。
結果は三人の持ち主が行動できる形で書いてください。打つのが最も速い形ではありません。素のタイムアウトは VPN の運用担当者に何も有用なことを伝えず、認証の失敗も訪問先ネットワークの運用担当者に同じくらいしか伝えません。
ログの一行で片づくことがよくあります。 TLS Error: TLS key negotiation failed to occur within 60 seconds は経路かポートを指し、一方 AUTH_FAILED はトンネルには到達したが資格情報が拒否されたことを意味します。
引き継ぎは五行で書く
簡潔な引き継ぎは五つを伝えます。訪問先の場所、試行時刻、承認済みのクライアント版、プロファイルが向いていたサーバーとトランスポート、そして最も早い有益なエラーです。その二つがあるなら、通常のアクセスが機能したかどうか、承認されたネットワーク間比較を行ったかどうかも加えてください。これが自分の机を離れる前に、パスワード、トークン、秘密鍵を伏せてください。
VPN が認証を通過した後に個別のアプリケーションが失敗したなら、その後の結果は別に引き継いでください。その時点で以前の二つの問いには答えが出ており、それらを新たな「まだ壊れている」報告に折り込むと、全員が振り出しに戻ります。
五行、三人の持ち主、一つの分岐。それが判断のすべてで、たいていは誰かがポート番号に触れる前に決まります。