Який вхід не вдався: доступ до eduroam чи VPN?

За фразою «VPN не працює в eduroam» стоять два входи, і за них відповідають різні команди. Приєднання до eduroam виводить пристрій у мережу доступу; приєднання до VPN будує другі відносини поверх цього з'єднання. Обидва може вести одна установа, але облікові дані, профіль і етап, на якому все ламається, залишаються окремими. Визначте, який із двох справді не вдався, перш ніж хтось змінить номер порту. Усе нижче побудовано навколо цього одного розгалуження.

Один кампус, де OpenVPN відповідав на UDP 1194, — корисна історія, а не рецепт для наступного.

Спочатку доведіть бік доступу

Вимкніть тунель і завантажте звичайну HTTP-сторінку або captive portal. Якщо вона відкривається, мережа доступу робить свою справу, і питання про VPN справді відкрите. Якщо нічого не завантажується, несправність в асоціації, обліковому записі або профілі підключення. Жодна зміна VPN не зачепить жодної з цих трьох.

Настанова з підключення до eduroam робить домашню установу джерелом ідентичності користувача. Коли майстер налаштування будує профіль, вибір відвіданої установи замість домашньої дає конфігурацію, яка не може автентифікуватися. Використовуйте те, що публікує домашня установа, а не пакет сертифікатів звідкись інде.

Вимкнення перевірки сертифіката або автентифікації заради проходу входу перетворює виправну хибну конфігурацію на постійну. Якщо встановлений профіль походить із несхваленого джерела, замініть його, перш ніж братися за будь-що інше.

Кому належить яка несправність

Щойно доступ працює, кожне питання, що лишилося, має рівно одного власника. Ось увесь поділ:

Рядок транспорту — це місце, де зазнають невдачі більшість самостійних спроб. Те, що слухає сервер, зафіксовано в його конфігурації, і редагування клієнтського профілю цього не змінить, тож попросіть в оператора поточний профіль, а не перемикайте TCP і UDP. Перемикання змінює лише те, як клієнт зазнає невдачі.

На відвіданому боці успішна автентифікація eduroam нічого не каже про те, чи несе цей шлях певний транспорт VPN, а сам тайм-аут не є доказом блокування. Обидва твердження лунають щодня, і кожному потрібне спостереження позаду.

На боці пристрою кероване правило безпеки, несумісна збірка клієнта й помилка ідентичності сервера — це три різні несправності. Зведення їх в один тікет сповільнює всі три.

Виберіть доказ раніше за теорію

Там, де профіль ваш для перевірки й оператор його схвалив, одне порівняння сильніше за суперечку: чи підключається той самий профіль з іншої довіреної мережі? «Так» указує на відвіданий шлях, «ні» — на профіль, сервер або клієнт. Проведіть цей тест у межах правил, що діють для облікового запису, і ніколи не встановлюючи клієнт, який ніхто не схвалив.

Якщо оператор публікує схвалений альтернативний профіль, використайте його. Вигадування слухача на новому порту або ослаблення правил мережі дає результат, який потім ніхто не зможе захистити, і приховує первісну несправність.

Запишіть результат у тій формі, у якій троє власників можуть діяти, а не в тій, яку найшвидше набрати. Голий тайм-аут не каже операторові VPN нічого корисного, а помилка автентифікації каже операторові відвіданої мережі рівно стільки ж мало.

Часто все вирішує один рядок журналу. TLS Error: TLS key negotiation failed to occur within 60 seconds указує на шлях або порт, тоді як AUTH_FAILED означає, що тунелю досягнуто, а облікові дані відхилено.

Напишіть передачу в п’ять рядків

Стисла передача несе п’ять речей: відвідане місце, час спроби, схвалену версію клієнта, сервер і транспорт, на які вказував профіль, і найранішу інформативну помилку. Додайте, чи працював звичайний доступ і чи було зроблено схвалене порівняння між мережами, якщо у вас є ці два. Видаліть паролі, токени й приватні ключі, перш ніж це залишить ваш стіл.

Якщо VPN проходить автентифікацію, а потім приватний застосунок зазнає невдачі, передайте цей пізніший результат окремо. Обидва попередні питання на той час уже отримали відповідь, і складання їх у новий звіт «усе ще зламано» повертає всіх на початок.

П’ять рядків, троє власників, одне розгалуження: це все рішення, і зазвичай воно ухвалюється раніше, ніж хтось торкнеться номера порту.