Ktoré prihlásenie zlyhalo: prístup k eduroam alebo VPN?
Pripojenie k eduroam je vstup do prístupovej siete; pripojenie k VPN je samostatný vzťah. Určite, ktoré prihlásenie skutočne zlyhalo, skôr než niekto zmení port.
Za vetou „VPN na eduroam nefunguje“ stoja dve prihlásenia a vlastnia ich rôzne tímy. Pripojenie k eduroam dostane zariadenie do prístupovej siete; pripojenie k VPN stavia druhý vzťah nad toto spojenie. Oboje môže prevádzkovať tá istá inštitúcia, ale prihlasovacie údaje, profil aj fáza, v ktorej sa to láme, zostávajú oddelené. Zistite, ktoré z dvoch skutočne zlyhalo, skôr než niekto upraví číslo portu. Všetko nižšie je usporiadané okolo tohto jedného rozvetvenia.
Jeden kampus, kde OpenVPN odpovedalo na UDP 1194, je užitočná história, nie recept pre ten ďalší.
Najprv dokážte stranu prístupu
Vypnite tunel a načítajte obyčajnú HTTP stránku alebo captive portál. Ak sa otvorí, prístupová sieť robí svoju prácu a otázka VPN je skutočne otvorená. Ak sa nič nenačíta, porucha je v asociácii, účte alebo v profile na pripojenie. Žiadna zmena VPN sa nedotkne ani jednej z tých troch vecí.
Pokyny na pripojenie k eduroam robia domovskú inštitúciu zdrojom identity používateľa. Keď konfiguračný asistent zostavuje profil, voľba navštívenej inštitúcie namiesto domovskej vytvorí nastavenie, ktoré sa nedokáže autentizovať. Použite to, čo zverejňuje domovská inštitúcia, a nie balík certifikátov odinakiaľ.
Vypnutie kontroly certifikátu alebo autentizácie, len aby prihlásenie prešlo, mení opraviteľnú chybnú konfiguráciu na trvalú. Ak nainštalovaný profil pochádza z neschváleného zdroja, nahraďte ho skôr, než sa pustíte do čohokoľvek ďalšieho.
Kto vlastní ktorú poruchu
Keď prístup funguje, každá zostávajúca otázka má práve jedného vlastníka. Tu je celé rozdelenie:
| Owner | Questions that belong to them |
|---|---|
| VPN operator | Server name, protocol, transport, port, client compatibility, VPN authentication |
| Visited network operator | Which traffic the local arrangement permits, and any observed path problem |
| Device or client administrator | Local policy, client build, server-identity errors |
Riadok s transportom je miesto, kde zlyháva väčšina pokusov urobených svojpomocne. To, na čom server počúva, je pevne dané v jeho konfigurácii a úprava klientskeho profilu to nezmení, preto operátora požiadajte o aktuálny profil, namiesto prepínania TCP a UDP. Prepínanie mení len spôsob, akým klient zlyháva.
Na navštívanej strane úspešná autentizácia eduroam nehovorí nič o tom, či tá cesta prenáša daný transport VPN, a samotný timeout nie je dôkazom blokovania. Obe tvrdenia sa robia denne a každé za sebou potrebuje pozorovanie.
Na strane zariadenia sú spravované bezpečnostné pravidlo, nekompatibilné zostavenie klienta a chyba identity servera tri rôzne poruchy. Zlúčenie do jedného tiketu všetky tri spomalí.
Vyberte dôkaz skôr než teóriu
Tam, kde je profil váš na testovanie a operátor ho schválil, jedno porovnanie porazí hádku: pripojí sa ten istý profil z inej dôveryhodnej siete? „Áno“ ukazuje na navštívenú cestu, „nie“ na profil, server alebo klienta. Ten test spustite v medziach pravidiel platných pre účet a nikdy nie inštaláciou klienta, ktorého nikto neschválil.
Ak operátor zverejní schválený alternatívny profil, použite ho. Vymýšľanie poslucháča na novom porte alebo uvoľňovanie sieťových pravidiel dáva výsledok, ktorý potom nikto neobháji, a skrýva pôvodnú poruchu.
Výsledok zapíšte vo forme, s ktorou traja vlastníci môžu pracovať, nie v tej, ktorá sa najrýchlejšie napíše. Holý timeout nepovie operátorovi VPN nič užitočné a zlyhanie autentizácie povie operátorovi navštívenej siete rovnako málo.
Často to rozhodne jediný riadok logu. TLS Error: TLS key negotiation failed to occur within 60 seconds ukazuje na cestu alebo port, zatiaľ čo AUTH_FAILED znamená, že tunel bol dosiahnutý a prihlasovacie údaje boli odmietnuté.
Napíšte odovzdanie v piatich riadkoch
Stručné odovzdanie nesie päť vecí: navštívené miesto, čas pokusu, schválenú verziu klienta, server a transport, na ktoré profil ukazoval, a najskoršiu informatívnu chybu. Pridajte, či fungoval bežný prístup a či bolo vykonané schválené porovnanie medzi sieťami, ak tieto dve máte. Predtým, než to opustí váš stôl, začiernite heslá, tokeny a súkromné kľúče.
Ak sa VPN autentizuje a potom zlyhá súkromná aplikácia, odovzdajte tento neskorší výsledok zvlášť. Obe skoršie otázky sú vtedy už zodpovedané a ich zloženie do novej správy „stále pokazené“ pošle všetkých späť na začiatok.
Päť riadkov, traja vlastníci, jedno rozvetvenie: to je celé rozhodnutie a zvyčajne sa vyrieši skôr, než sa niekto dotkne čísla portu.