Kva innlogging feila: eduroam-tilgangen eller VPN-en?
Å bli med i eduroam er onboarding på eit tilgangsnett; å bli med i ein VPN er eit eige høve. Avgjer kva innlogging som faktisk feila før nokon endrar ein port.
Bak setninga «VPN-en verkar ikkje på eduroam» ligg to innloggingar, og ulike team eig dei. Å bli med i eduroam fører eininga inn på eit tilgangsnett; å bli med i ein VPN byggjer eit andre høve oppå den sambindinga. Begge kan drivast av same institusjon, men påloggingsdetaljane, profilen og trinnet der det bryt saman held seg åtskilde. Finn ut kva av dei to som faktisk feila, før nokon redigerer eit portnummer. Alt nedanfor er organisert rundt denne eine greina.
Éin campus der OpenVPN svara på UDP 1194 er nyttig historie, ikkje ein oppskrift for den neste.
Prov tilgangssida først
Slå av tunnelen og last ei vanleg HTTP-side eller ein captive portal. Opnar ho, gjer tilgangsnettet jobben sin, og VPN-spørsmålet er verkeleg ope. Vert ingenting lasta, sit feilen i assosiasjonen, kontoen eller onboardingprofilen. Inga endring i VPN-en vil røre nokon av dei tre.
Rettleiinga for eduroam-tilkopling gjer heimeinstitusjonen til kjelda for identiteten til brukaren. Når ein konfigurasjonsassistent byggjer ein profil, gjev valet av den besøkte institusjonen i staden for heimeinstitusjonen eit oppsett som ikkje kan autentisere. Bruk det heimeinstitusjonen publiserer, ikkje ein sertifikatpakke frå ein annan stad.
Å slå av ein sertifikat- eller autentiseringssjekk for å kome forbi ei innlogging gjer ein reparerbar feilkonfigurasjon permanent. Kjem den installerte profilen frå ei ikkje-godkjend kjelde, erstatt han før du granskar noko anna.
Kven eig kva feil
Når tilgangen verkar, har kvart attverande spørsmål nøyaktig éin eigar. Her er heile inndelinga:
| Owner | Questions that belong to them |
|---|---|
| VPN operator | Server name, protocol, transport, port, client compatibility, VPN authentication |
| Visited network operator | Which traffic the local arrangement permits, and any observed path problem |
| Device or client administrator | Local policy, client build, server-identity errors |
Transportrada er der dei fleste sjølvlagde forsøka feilar. Det tenaren lyttar på er fastsett i konfigurasjonen, og redigering av klientprofilen kan ikkje endre det, så be operatøren om gjeldande profil i staden for å byta mellom TCP og UDP. Bytet endrar berre måten klienten feilar på.
På den besøkte sida seier ei vellukka eduroam-autentisering ingenting om den vegen ber ein gjeven VPN-transport, og ein timeout åleine er ikkje prov på blokkering. Begge påstandane vert framsette dagleg, og kvar av dei treng ei observasjon bak seg.
På eininga si side er ein administrert tryggingsregel, ein inkompatibel klientversjon og ein tenaridentitetsfeil tre ulike feil. Å samle dei i éi sak forseinkar alle tre.
Vel provet før teorien
Der profilen er din å teste og operatøren har godkjend han, slår éin samanlikning ein diskusjon: koplar same profil til frå eit anna truverdig nett? Eit «ja» peikar på den besøkte vegen, eit «nei» på profilen, tenaren eller klienten. Køyr den testen innanfor reglane som gjeld for kontoen, og aldri ved å installere ein klient ingen har godkjend.
Publiserer operatøren ein godkjend alternativ profil, bruk han. Å finne opp ein lyttar på ein ny port eller lempe på reglane til nettet gjev eit resultat ingen kan forsvare seinare, og det løyner den opphavlege feilen.
Skriv resultatet i den forma dei tre eigarane kan handle på, ikkje den som er raskast å skrive. Ein naken timeout seier ingenting nyttig til VPN-operatøren, og ein autentiseringsfeil seier den besøkte nettoperatøren like lite.
Éi logglinje avgjer det ofte. TLS Error: TLS key negotiation failed to occur within 60 seconds peikar på vegen eller porten, medan AUTH_FAILED tyder at tunnelen vart nådd og påloggingsdetaljane vart avviste.
Skriv overleveringa i fem linjer
Ei kort overlevering ber fem ting: den besøkte staden, tidspunktet for forsøket, den godkjende klientversjonen, tenaren og transporten profilen peikte på, og den tidlegaste informative feilen. Legg til om vanleg tilgang verka, og om ei godkjend samanlikning på tvers av nett vart gjord, om du har dei to. Sladd passord, token og private nøklar før dette forlèt skrivebordet ditt.
Autentiserer VPN-en og ein privat applikasjon deretter feilar, send det seinare resultatet vidare for seg. Begge dei tidlegare spørsmåla er svara innan då, og å brette dei inn i ein ny «framleis øydelagd»-rapport sender alle tilbake til start.
Fem linjer, tre eigarar, éi grein: det er heile avgjerda, og ho vert vanlegvis teken før nokon rører eit portnummer.