哪一次登录失败了：eduroam 接入还是 VPN？
加入 eduroam 是接入网络的开通；加入 VPN 是另一层关系。在任何人改动端口之前，先判断真正失败的究竟是哪一次登录。
“VPN 在 eduroam 上不能用”这句话背后有两层登录，而它们分属不同的团队。加入 eduroam 是让设备进入一个接入网络；加入 VPN 则是在这条连接之上再建一层关系。两者可能由同一家机构运营，但凭据、配置文件以及出问题的环节始终是分开的。在任何人改动端口号之前，先弄清楚两者之中究竟哪一个失败了。下文的一切都围绕这同一个分岔展开。
某个校园里 OpenVPN 在 UDP 1194 上应答过，那是有用的历史，不是下一个校园的配方。
先证明接入侧
关掉隧道，打开一个普通 HTTP 页面或强制门户。如果能打开，说明接入网络在正常工作，VPN 的问题确实还悬着。如果什么都打不开，故障就在关联、账号或入网配置里。对 VPN 做任何改动都不会触及这三者之一。
eduroam 连接指南 把本机构定为用户身份的来源。当配置助手生成配置文件时，选访问机构而不是本机构，会得到一个无法通过认证的设置。请使用本机构发布的内容，而不是别处拿来的证书包。
为了绕过登录而关掉证书或认证校验，会把一次可修复的错误配置变成永久的。如果已安装的配置文件来自未经批准的来源，先替换它，再去查别的东西。
哪一种故障归谁
接入一旦可用，剩下的每个问题都恰好只有一个归属方。整个划分就是这些：
| Owner | Questions that belong to them |
|---|---|
| VPN operator | Server name, protocol, transport, port, client compatibility, VPN authentication |
| Visited network operator | Which traffic the local arrangement permits, and any observed path problem |
| Device or client administrator | Local policy, client build, server-identity errors |
传输那一行正是自助排查失败最多的地方。服务器监听什么由它的配置决定，改客户端配置文件改不动它，所以应当向运营方索取当前配置，而不是来回切换 TCP 和 UDP。切换只会改变客户端失败的方式。
在访问网络一侧，eduroam 认证成功并不能说明那条路径承载某种 VPN 传输，而单凭超时也不构成封锁的证据。这两种说法每天都有人在讲，每一种背后都需要一次观测。
在设备一侧，受管的安全策略、不兼容的客户端版本和服务器身份错误是三种不同的故障。把它们并进一张工单，会拖慢全部三种。
先选证据，再谈理论
当配置文件归你测试、且运营方已批准时，一次对比胜过一场争论：同一个配置能不能从另一个可信网络连上？能，指向访问路径；不能，指向配置、服务器或客户端。这项测试要在账号适用的规则之内进行，绝不能靠安装一个没人批准的客户端来做。
如果运营方发布了已批准的备用配置，就用它。在新端口上自造一个监听，或者放宽网络的规则，会得到没人能事后辩护的结果，而且掩盖了最初的故障。
把结果写成三个归属方都能据以行动的形态，而不是写成打字最快的形态。干巴巴的超时对 VPN 运营方毫无用处，认证失败对访问网络运营方同样说明不了什么。
一行日志往往就能定性。 TLS Error: TLS key negotiation failed to occur within 60 seconds 指向路径或端口，而 AUTH_FAILED 意味着隧道已经打通、凭据被拒绝。
用五行写交接
简洁的交接包含五件事：访问地点、尝试时间、已批准的客户端版本、配置文件所指向的服务器与传输，以及最早出现的有用错误。如果这两项都有，再补上普通接入是否正常、是否做过经批准的跨网络对比。在它离开你的桌子之前，先涂掉密码、令牌和私钥。
如果 VPN 认证通过了，之后某个私有应用却失败，请把后面这个结果单独往下传。前面两个问题到那时已经有答案，把它们折进一份新的“还是坏的”报告，只会把所有人送回起点。
五行、三个归属方、一个分岔：这就是全部判断，而且通常在任何人碰到端口号之前就已经定了。