Какой вход не удался: доступ к eduroam или VPN?
Подключение к eduroam — это вход в сеть доступа; подключение к VPN — отдельные отношения. Определите, какой вход действительно не удался, прежде чем кто-либо изменит порт.
За фразой «VPN не работает в eduroam» стоят два входа, и за них отвечают разные команды. Подключение к eduroam выводит устройство в сеть доступа; подключение к VPN строит вторые отношения поверх этого соединения. Оба может вести одно учреждение, но учётные данные, профиль и этап, на котором всё ломается, остаются раздельными. Определите, какой из двух действительно не удался, прежде чем кто-либо изменит номер порта. Всё ниже построено вокруг этой одной развилки.
Один кампус, где OpenVPN отвечал на UDP 1194, — полезная история, а не рецепт для следующего.
Сначала докажите сторону доступа
Отключите туннель и загрузите обычную HTTP-страницу или captive portal. Если она открывается, сеть доступа делает своё дело, и вопрос о VPN действительно открыт. Если ничего не загружается, неисправность в ассоциации, учётной записи или профиле подключения. Никакое изменение VPN не затронет ни одно из этих трёх.
Руководство по подключению к eduroam делает домашнее учреждение источником идентичности пользователя. Когда мастер настройки строит профиль, выбор посещённого учреждения вместо домашнего даёт конфигурацию, которая не может пройти аутентификацию. Используйте то, что публикует домашнее учреждение, а не пакет сертификатов откуда-то ещё.
Отключение проверки сертификата или аутентификации ради прохода входа превращает исправимую неверную конфигурацию в постоянную. Если установленный профиль пришёл из неодобренного источника, замените его, прежде чем заниматься чем-либо ещё.
Кому принадлежит какая неисправность
Как только доступ работает, у каждого оставшегося вопроса есть ровно один владелец. Вот всё разделение:
| Owner | Questions that belong to them |
|---|---|
| VPN operator | Server name, protocol, transport, port, client compatibility, VPN authentication |
| Visited network operator | Which traffic the local arrangement permits, and any observed path problem |
| Device or client administrator | Local policy, client build, server-identity errors |
Строка транспорта — это место, где терпят неудачу большинство самостоятельных попыток. То, что слушает сервер, зафиксировано в его конфигурации, и правка клиентского профиля этого не изменит, поэтому попросите у оператора текущий профиль, а не переключайте TCP и UDP. Переключение меняет только то, как клиент терпит неудачу.
На посещённой стороне успешная аутентификация eduroam ничего не говорит о том, несёт ли этот путь определённый транспорт VPN, а один тайм-аут не является доказательством блокировки. Оба утверждения звучат ежедневно, и каждому нужно наблюдение за спиной.
На стороне устройства управляемое правило безопасности, несовместимая сборка клиента и ошибка идентичности сервера — это три разных неисправности. Сведение их в один тикет замедляет все три.
Выберите доказательство раньше теории
Там, где профиль ваш для проверки и оператор его одобрил, одно сравнение сильнее спора: подключается ли тот же профиль из другой доверенной сети? «Да» указывает на посещённый путь, «нет» — на профиль, сервер или клиент. Проведите этот тест в рамках правил, действующих для учётной записи, и никогда не устанавливая клиент, который никто не одобрил.
Если оператор публикует одобренный альтернативный профиль, используйте его. Выдумывание слушателя на новом порту или ослабление правил сети даёт результат, который потом никто не сможет защитить, и скрывает первоначальную неисправность.
Запишите результат в той форме, в которой трое владельцев могут действовать, а не в той, которую быстрее набрать. Голый тайм-аут не говорит оператору VPN ничего полезного, а ошибка аутентификации говорит оператору посещённой сети ровно столько же мало.
Часто всё решает одна строка журнала. TLS Error: TLS key negotiation failed to occur within 60 seconds указывает на путь или порт, тогда как AUTH_FAILED означает, что туннель был достигнут, а учётные данные отклонены.
Напишите передачу в пять строк
Краткая передача несёт пять вещей: посещённое место, время попытки, одобренную версию клиента, сервер и транспорт, на которые указывал профиль, и самую раннюю информативную ошибку. Добавьте, работал ли обычный доступ и было ли сделано одобренное сравнение между сетями, если у вас есть эти два. Удалите пароли, токены и закрытые ключи, прежде чем это покинет ваш стол.
Если VPN проходит аутентификацию, а затем частное приложение терпит неудачу, передайте этот поздний результат отдельно. Оба прежних вопроса к тому времени уже отвечены, и складывание их в новый отчёт «всё ещё сломано» отправляет всех обратно в начало.
Пять строк, трое владельцев, одна развилка: это всё решение, и обычно оно принимается раньше, чем кто-либо коснётся номера порта.