Qual início de sessão falhou: o acesso à eduroam ou a VPN?

Por trás da frase «a VPN não funciona na eduroam» estão dois inícios de sessão, e equipas diferentes são responsáveis por eles. Aderir à eduroam coloca o dispositivo numa rede de acesso; aderir a uma VPN constrói uma segunda relação sobre essa ligação. Ambos podem ser geridos pela mesma instituição, mas as credenciais, o perfil e a fase em que as coisas quebram continuam separados. Determine qual dos dois falhou realmente antes que alguém edite um número de porta. Tudo o que se segue está organizado em torno desta única bifurcação.

Um campus onde o OpenVPN respondia no UDP 1194 é história útil, não uma receita para o próximo.

Primeiro, prove o lado do acesso

Desligue o túnel e carregue uma página HTTP simples ou um portal cativo. Se abrir, a rede de acesso está a fazer o seu trabalho e a questão da VPN está genuinamente em aberto. Se nada carregar, a falha está na associação, na conta ou no perfil de adesão. Nenhuma alteração à VPN tocará em nenhum desses três.

O guia de ligação à eduroam torna a instituição de origem a fonte da identidade do utilizador. Quando um assistente de configuração cria um perfil, escolher a instituição visitada em vez da de origem produz uma configuração que não consegue autenticar-se. Use o que a instituição de origem publica e não um pacote de certificados vindo de outro sítio.

Desativar uma verificação de certificado ou de autenticação para passar um início de sessão transforma uma má configuração reparável numa permanente. Se o perfil instalado veio de uma fonte não aprovada, substitua-o antes de investigar qualquer outra coisa.

Quem é dono de cada falha

Quando o acesso funciona, cada pergunta restante tem exatamente um dono. Esta é toda a divisão:

A linha do transporte é onde falham a maioria das tentativas feitas por conta própria. Aquilo em que o servidor escuta está fixado na sua configuração, e editar o perfil do cliente não o pode mudar, por isso peça ao operador o perfil atual em vez de alternar entre TCP e UDP. Alternar só muda a forma como o cliente falha.

Do lado visitado, uma autenticação eduroam bem-sucedida não diz nada sobre se esse caminho transporta um determinado transporte VPN, e um tempo limite sozinho não é prova de bloqueio. As duas afirmações são feitas diariamente, e cada uma precisa de uma observação por trás.

Do lado do dispositivo, uma regra de segurança gerida, uma versão de cliente incompatível e um erro de identidade do servidor são três falhas diferentes. Agrupá-las num único pedido atrasa as três.

Escolha a evidência antes da teoria

Onde o perfil é seu para testar e o operador o aprovou, uma comparação ganha uma discussão: o mesmo perfil liga-se a partir de outra rede de confiança? Um «sim» aponta para o caminho visitado, um «não» aponta para o perfil, o servidor ou o cliente. Faça esse teste dentro das regras que se aplicam à conta, e nunca instalando um cliente que ninguém aprovou.

Se o operador publicar um perfil alternativo aprovado, use-o. Inventar um ouvinte numa porta nova ou relaxar as regras da rede produz um resultado que ninguém poderá defender mais tarde, e esconde a falha original.

Escreva o resultado na forma sobre a qual os três donos podem agir, não na mais rápida de escrever. Um tempo limite nu não diz nada de útil ao operador da VPN, e uma falha de autenticação diz o mesmo pouco ao operador da rede visitada.

Uma só linha de registo resolve-o muitas vezes. TLS Error: TLS key negotiation failed to occur within 60 seconds aponta para o caminho ou a porta, enquanto AUTH_FAILED significa que o túnel foi alcançado e as credenciais foram recusadas.

Escreva a passagem em cinco linhas

Uma passagem concisa leva cinco coisas: o local visitado, a hora da tentativa, a versão de cliente aprovada, o servidor e o transporte para os quais o perfil apontava, e o primeiro erro informativo. Acrescente se o acesso normal funcionou e se foi feita uma comparação aprovada entre redes, se tiver esses dois dados. Oculte palavras-passe, tokens e chaves privadas antes de isto sair da sua secretária.

Se a VPN se autenticar e depois uma aplicação privada falhar, passe esse resultado posterior separadamente. As duas perguntas anteriores já estão respondidas nessa altura, e dobrá-las num novo relatório «continua avariado» devolve todos ao início.

Cinco linhas, três donos, uma bifurcação: é toda a decisão, e normalmente é tomada antes de alguém tocar num número de porta.