Vilken inloggning misslyckades: eduroam-åtkomsten eller VPN:en?
Att gå med i eduroam är att ansluta till ett åtkomstnät; att gå med i en VPN är en separat relation. Avgör vilken inloggning som faktiskt misslyckades innan någon ändrar en port.
Bakom meningen ”VPN:en fungerar inte på eduroam” ligger två inloggningar, och olika team äger dem. Att gå med i eduroam för in enheten i ett åtkomstnät; att gå med i en VPN bygger en andra relation ovanpå den anslutningen. Båda kan drivas av samma institution, men inloggningsuppgifterna, profilen och steget där det brister hålls åtskilda. Ta reda på vilken av de två som faktiskt misslyckades innan någon redigerar ett portnummer. Allt nedan är ordnat kring den enda förgreningen.
En campus där OpenVPN svarade på UDP 1194 är användbar historia, inte ett recept för nästa.
Bevisa åtkomstsidan först
Stäng av tunneln och ladda en vanlig HTTP-sida eller en captive portal. Om den öppnas sköter åtkomstnätet sitt jobb och VPN-frågan är verkligen öppen. Om ingenting laddas sitter felet i associationen, kontot eller onboardingprofilen. Ingen ändring av VPN:en kommer att röra någon av de tre.
Vägledningen för eduroam-anslutning gör heminstitutionen till källan för användarens identitet. När en konfigurationsassistent bygger en profil ger valet av den besökta institutionen i stället för heminstitutionen en uppsättning som inte kan autentisera. Använd det heminstitutionen publicerar, inte ett certifikatpaket från någon annanstans.
Att stänga av en certifikat- eller autentiseringskontroll för att komma förbi en inloggning gör en reparerbar felkonfiguration permanent. Om den installerade profilen kommer från en icke godkänd källa, ersätt den innan du undersöker något annat.
Vem äger vilket fel
När åtkomsten fungerar har varje kvarvarande fråga exakt en ägare. Här är hela uppdelningen:
| Owner | Questions that belong to them |
|---|---|
| VPN operator | Server name, protocol, transport, port, client compatibility, VPN authentication |
| Visited network operator | Which traffic the local arrangement permits, and any observed path problem |
| Device or client administrator | Local policy, client build, server-identity errors |
Transportraden är där de flesta självgjorda försök misslyckas. Vad servern lyssnar på är fast i dess konfiguration, och att redigera klientprofilen kan inte ändra det, så be operatören om den aktuella profilen i stället för att växla mellan TCP och UDP. Växlingen ändrar bara hur klienten misslyckas.
På den besökta sidan säger en lyckad eduroam-autentisering ingenting om huruvida den vägen bär en viss VPN-transport, och en timeout ensam är inte bevis på blockering. Båda påståendena görs dagligen, och var och ett behöver en observation bakom sig.
På enhetssidan är en hanterad säkerhetsregel, en inkompatibel klientversion och ett serveridentitetsfel tre olika fel. Att bunta dem i ett ärende fördröjer alla tre.
Välj beviset före teorin
Där profilen är din att testa och operatören har godkänt den, slår en jämförelse en diskussion: ansluter samma profil från ett annat betrott nät? Ett ”ja” pekar på den besökta vägen, ett ”nej” på profilen, servern eller klienten. Kör testet inom de regler som gäller för kontot, och aldrig genom att installera en klient som ingen godkänt.
Om operatören publicerar en godkänd alternativ profil, använd den. Att hitta på en lyssnare på en ny port eller lätta på nätets regler ger ett resultat ingen kan försvara senare, och det döljer det ursprungliga felet.
Skriv resultatet i den form de tre ägarna kan agera på, inte den som är snabbast att skriva. En naken timeout säger ingenting användbart till VPN-operatören, och ett autentiseringsfel säger den besökta nätoperatören lika lite.
Ofta avgör en enda loggrada. TLS Error: TLS key negotiation failed to occur within 60 seconds pekar på vägen eller porten, medan AUTH_FAILED betyder att tunneln nåddes och att inloggningsuppgifterna avvisades.
Skriv överlämningen i fem rader
En kort överlämning bär fem saker: den besökta platsen, försökets tidpunkt, den godkända klientversionen, servern och transporten profilen pekade på, och det tidigaste informativa felet. Lägg till om vanlig åtkomst fungerade och om en godkänd jämförelse mellan nät gjordes, om du har de två. Sladda lösenord, tokens och privata nycklar innan detta lämnar ditt skrivbord.
Om VPN:en autentiserar och en privat applikation därefter misslyckas, skicka det senare resultatet vidare för sig. Båda de tidigare frågorna är besvarade då, och att vika in dem i en ny ”fortfarande trasig”-rapport skickar alla tillbaka till början.
Fem rader, tre ägare, en förgrening: det är hela beslutet, och det avgörs oftast innan någon rör ett portnummer.