Care autentificare a eșuat: accesul la eduroam sau VPN-ul?

În spatele propoziției „VPN-ul nu funcționează pe eduroam“ stau două autentificări, iar echipe diferite răspund de ele. Înscrierea în eduroam aduce dispozitivul într-o rețea de acces; înscrierea într-un VPN construiește o a doua relație peste acea conexiune. Ambele pot fi administrate de aceeași instituție, dar acreditările, profilul și etapa în care lucrurile se rup rămân separate. Stabiliți care dintre cele două a eșuat de fapt înainte ca cineva să editeze un număr de port. Tot ce urmează este organizat în jurul acestei singure bifurcații.

Un campus unde OpenVPN răspundea pe UDP 1194 este istorie utilă, nu o rețetă pentru următorul.

Mai întâi demonstrați partea de acces

Opriți tunelul și încărcați o pagină HTTP simplă sau un portal captiv. Dacă se deschide, rețeaua de acces își face treaba, iar întrebarea despre VPN este cu adevărat deschisă. Dacă nu se încarcă nimic, defectul este în asociere, în cont sau în profilul de înrolare. Nicio modificare a VPN-ului nu va atinge vreuna dintre cele trei.

Ghidul de conectare la eduroam face din instituția de origine sursa identității utilizatorului. Când un asistent de configurare construiește un profil, alegerea instituției vizitate în locul celei de origine produce o configurație care nu se poate autentifica. Folosiți ce publică instituția de origine, nu un pachet de certificate venit de altundeva.

Dezactivarea unei verificări de certificat sau de autentificare pentru a trece de o autentificare transformă o configurație greșită reparabilă într-una permanentă. Dacă profilul instalat provine dintr-o sursă neaprobată, înlocuiți-l înainte de a investiga orice altceva.

Cine deține care defect

După ce accesul funcționează, fiecare întrebare rămasă are exact un proprietar. Aceasta este întreaga împărțire:

Rândul transportului este locul unde eșuează majoritatea încercărilor făcute pe cont propriu. Ceea ce ascultă serverul este fixat în configurația lui, iar editarea profilului clientului nu poate schimba asta, așa că cereți operatorului profilul actual în loc să comutați între TCP și UDP. Comutarea schimbă doar felul în care clientul eșuează.

Pe partea vizitată, o autentificare eduroam reușită nu spune nimic despre dacă acea cale transportă un anumit transport VPN, iar un singur timeout nu este dovadă de blocare. Ambele afirmații se fac zilnic, iar fiecare are nevoie de o observație în spate.

Pe partea dispozitivului, o regulă de securitate administrată, o versiune de client incompatibilă și o eroare de identitate a serverului sunt trei defecte diferite. Gruparea lor într-un singur tichet le încetinește pe toate trei.

Alegeți dovada înaintea teoriei

Acolo unde profilul este al dumneavoastră pentru testare și operatorul l-a aprobat, o singură comparație câștigă o discuție: se conectează același profil din altă rețea de încredere? Un „da“ indică calea vizitată, un „nu“ indică profilul, serverul sau clientul. Faceți acel test în limitele regulilor care se aplică contului și niciodată instalând un client pe care nimeni nu l-a aprobat.

Dacă operatorul publică un profil alternativ aprobat, folosiți-l. Inventarea unui ascultător pe un port nou sau relaxarea regulilor rețelei produce un rezultat pe care nimeni nu îl va putea apăra mai târziu și ascunde defectul original.

Scrieți rezultatul în forma în care cei trei proprietari pot acționa, nu în cea mai rapidă de tastat. Un timeout gol nu spune nimic util operatorului VPN, iar o eroare de autentificare îi spune operatorului rețelei vizitate exact la fel de puțin.

O singură linie de jurnal lămurește des. TLS Error: TLS key negotiation failed to occur within 60 seconds indică calea sau portul, în timp ce AUTH_FAILED înseamnă că tunelul a fost atins și acreditările au fost refuzate.

Scrieți predarea în cinci rânduri

O predare concisă duce cinci lucruri: locul vizitat, ora încercării, versiunea de client aprobată, serverul și transportul către care indica profilul, și cea mai timpurie eroare informativă. Adăugați dacă accesul obișnuit a funcționat și dacă s-a făcut o comparație aprobată între rețele, dacă aveți aceste două date. Mascați parolele, tokenurile și cheile private înainte ca aceasta să plece de pe biroul dumneavoastră.

Dacă VPN-ul se autentifică și apoi o aplicație privată eșuează, transmiteți acel rezultat ulterior separat. Ambele întrebări anterioare au primit răspuns până atunci, iar plierea lor într-un nou raport „încă stricat“ îi trimite pe toți înapoi la început.

Cinci rânduri, trei proprietari, o bifurcație: aceasta este toată decizia și de obicei se ia înainte ca cineva să atingă un număr de port.