Które logowanie zawiodło: dostęp do eduroam czy VPN?

Za zdaniem „VPN nie działa w eduroam” stoją dwa logowania i odpowiadają za nie różne zespoły. Dołączenie do eduroam wprowadza urządzenie do sieci dostępowej; dołączenie do VPN buduje drugą relację ponad tym połączeniem. Oba może prowadzić ta sama instytucja, ale dane logowania, profil i etap, na którym wszystko się łamie, pozostają osobne. Ustal, które z dwóch naprawdę zawiodło, zanim ktokolwiek zmieni numer portu. Wszystko poniżej jest ułożone wokół tego jednego rozgałęzienia.

Jeden kampus, w którym OpenVPN odpowiadał na UDP 1194, to przydatna historia, a nie przepis na następny.

Najpierw udowodnij stronę dostępu

Wyłącz tunel i wczytaj zwykłą stronę HTTP albo portal przechwytujący. Jeśli się otworzy, sieć dostępowa robi swoje, a pytanie o VPN jest naprawdę otwarte. Jeśli nic się nie wczyta, usterka tkwi w skojarzeniu, koncie lub profilu wdrożeniowym. Żadna zmiana w VPN nie dotknie żadnego z tych trzech.

Przewodnik po połączeniu z eduroam czyni instytucję macierzystą źródłem tożsamości użytkownika. Gdy kreator konfiguracji buduje profil, wybór instytucji odwiedzanej zamiast macierzystej daje konfigurację, która nie potrafi się uwierzytelnić. Używaj tego, co publikuje instytucja macierzysta, a nie pakietu certyfikatów z innego miejsca.

Wyłączenie sprawdzania certyfikatu lub uwierzytelniania, by przejść logowanie, zamienia naprawialną błędną konfigurację w trwałą. Jeśli zainstalowany profil pochodzi z niezatwierdzonego źródła, wymień go, zanim zajmiesz się czymkolwiek innym.

Kto odpowiada za którą usterkę

Gdy dostęp działa, każde pozostałe pytanie ma dokładnie jednego właściciela. Oto cały podział:

Wiersz transportu to miejsce, w którym zawodzi większość samodzielnych prób. To, na czym nasłuchuje serwer, jest ustalone w jego konfiguracji, a edycja profilu klienta tego nie zmieni, więc poproś operatora o bieżący profil zamiast przełączać TCP i UDP. Przełączanie zmienia tylko sposób, w jaki klient zawodzi.

Po stronie odwiedzanej udane uwierzytelnienie eduroam nie mówi nic o tym, czy ta ścieżka przenosi dany transport VPN, a sam limit czasu nie jest dowodem blokady. Oba twierdzenia pojawiają się codziennie i każde potrzebuje obserwacji za sobą.

Po stronie urządzenia zarządzana reguła bezpieczeństwa, niezgodna wersja klienta i błąd tożsamości serwera to trzy różne usterki. Zebranie ich w jednym zgłoszeniu spowalnia wszystkie trzy.

Wybierz dowód przed teorią

Gdy profil jest twój do testowania i operator go zatwierdził, jedno porównanie wygrywa spór: czy ten sam profil łączy się z innej zaufanej sieci? „Tak” wskazuje ścieżkę odwiedzaną, „nie” wskazuje profil, serwer lub klienta. Wykonaj ten test w granicach zasad obowiązujących dla konta i nigdy przez instalowanie klienta, którego nikt nie zatwierdził.

Jeśli operator publikuje zatwierdzony profil alternatywny, użyj go. Wymyślanie nasłuchu na nowym porcie lub luzowanie zasad sieci daje wynik, którego później nikt nie obroni, i ukrywa pierwotną usterkę.

Zapisz wynik w formie, na której trzej właściciele mogą działać, a nie w tej, którą najszybciej się wpisuje. Sam limit czasu nie mówi operatorowi VPN nic użytecznego, a błąd uwierzytelniania mówi operatorowi sieci odwiedzanej równie mało.

Często rozstrzyga jedna linia logu. TLS Error: TLS key negotiation failed to occur within 60 seconds wskazuje ścieżkę lub port, podczas gdy AUTH_FAILED oznacza, że tunel został osiągnięty, a dane logowania odrzucone.

Napisz przekazanie w pięciu liniach

Zwięzłe przekazanie niesie pięć rzeczy: odwiedzone miejsce, czas próby, zatwierdzoną wersję klienta, serwer i transport, na które wskazywał profil, oraz najwcześniejszy informacyjny błąd. Dodaj, czy zwykły dostęp działał i czy wykonano zatwierdzone porównanie między sieciami, jeśli masz te dwie informacje. Zamaż hasła, tokeny i klucze prywatne, zanim to opuści twoje biurko.

Jeśli VPN się uwierzytelni, a potem zawiedzie prywatna aplikacja, przekaż ten późniejszy wynik osobno. Oba wcześniejsze pytania są już wtedy rozstrzygnięte, a włożenie ich do nowego raportu „nadal zepsute” odsyła wszystkich na początek.

Pięć linii, trzech właścicieli, jedno rozgałęzienie: to cała decyzja, i zwykle zapada, zanim ktokolwiek dotknie numeru portu.