FRITZ!Box-VPN verbind maar niks antwoord nie: WireGuard of IPSec
’n Gekoppelde FRITZ!Box-tonnel wat nie by die LAN kan uitkom nie, is ’n adresseringsprobleem. Kontroleer die vier IPSec-velde of die WireGuard-peer voordat jy weer invoer.
Die tonnel sê dit is gekoppel, die ikoon is groen, en niks op die tuis-LAN antwoord nie. Dit is die mees algemene klagte oor FRITZ!Box-afstandtoegang, en dit is byna nooit die tonnel self nie. Die adresplan, die subnetidentiteit of die kliënt se roeteblad is verkeerd. Watter een van dié jy uiteindelik ontfout, hang daarvan af of jy WireGuard of die ouer IPSec Fernzugang gekies het, so begin deur te weet watter een jy werklik opgestel het.
Die tonnel kom op en die LAN bly stil
’n Tonnel wat tot stand kom, bewys dat die sleutels en die eindpunt reg is. Dit bewys nie dat die kliënt ’n adres gekry het waarna die box kan roeteer, of dat die kliënt weet watter prefikse op die tonnel hoort nie. Dit is twee afsonderlike suksesse, en net die tweede een laat jou ’n drukker bereik.
Kontroleer eers die kliënt se adres, dan sy roeteblad.
As die toegewysde adres buite die LAN-subnet lê, het die box niks om na terug te roeteer nie. As dit binne die DHCP-reeks lê, kan die box dieselfde adres aan ’n plaaslike toestel gee. Albei lewer ’n tonnel wat koppel en ’n LAN wat jou ignoreer.
Wat elke opsie werklik opstel
Die IPSec-opsie genereer ’n konfigurasielêer vir een gebruiker, met die vooraf-gedeelde sleutel en die adressering. Jy voer dit in ’n kliënt in wat dieselfde profiel praat, wat op Windows gewoonlik die verskaffer se hulpmiddel beteken eerder as die ingeboude kliënt. Die WireGuard-opsie genereer ’n peer vir een toestel: ’n sleutelpaar, ’n adres binne die tonnel en ’n eindpunt.
Daardie verskil bepaal jou onderhoudsmodel. Elke WireGuard-toestel is ’n aparte peer met sy eie sleutel, so om ’n verlore telefoon te herroep beteken om een peer te skrap terwyl die ander aanhou werk. IPSec herroep deur die gedeelde geheim of die gebruiker se konfigurasie te verander, wat growwer is en elke toestel wat dit gebruik raak.
Nie een opsie is verouderd nie. Die IPSec-pad bly die ondersteunde een oral waar die verre kant nie WireGuard kan hardloop nie.
Die IPSec-velde wat ’n dooie tonnel lewer
Vier waardes moet met jou LAN ooreenstem, en drie daarvan faal op maniere wat soos ’n stukkende tonnel lyk.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Die netwerkadres is die een wat mense vang. ’n Subnet word deur sy eerste adres geïdentifiseer, wat normaalweg op nul eindig, en om ’n gasheeradres daar in te voer lewer ’n konfigurasie wat heeltemal geloofwaardig lyk en nooit koppel nie. Die DHCP-reeks maak saak om ’n ander rede: tonnelkliënte word tipies bokant dit toegewys, so ’n reeks wat die hele subnet opgebruik, laat niks oor om uit te deel nie.
Oorvleuelende subnette is die ander klassieke geval. As die verre LAN by wie jy aansluit dieselfde prefiks as die LAN waarop jy sit gebruik, kan roetering die twee nie onderskei nie, en om een kant te hernommer is die enigste werklike oplossing. Geen hoeveelheid kliëntkonfigurasie los dit op nie.
Waarom WireGuard anders faal
WireGuard het geen vooraf-gedeelde sleutel om verkeerd te tik nie, so sy foute bondel eerder rondom die peer-definisie. ’n Lys toegelate IP’s wat die LAN-prefiks uitlaat, lewer ’n tonnel wat niks dra nie, want die kliënt stuur nooit LAN-gerigte verkeer daarin nie. ’n Verouderde publieke sleutel aan enige kant lewer ’n handskud wat nooit voltooi nie. ’n Ontbrekende eindpunt of ’n verkeerde poort lewer stilte eerder as ’n fout.
Vergelyk beide kante veld vir veld eerder as om die lêer weer in te voer en te hoop.
Die een gedeelde fout is die subnetbotsing. WireGuard sal met graagte ’n tonnel na ’n netwerk bou wat jou plaaslike een oorvleuel, en dan besluit die roeteblad watter van die twee identiese prefikse wen.
Bewys dit van buite, en hou dan ’n weg terug in
Toets vanaf ’n mobiele verbinding, nooit van binne die LAN nie, want van binne toets jy ’n pad wat glad nie die tonnel betrek nie. Teken aan watter poort elke opsie gebruik voordat jy dit aktiveer, en stuur daardie poort na die box.
Hou die gegenereerde lêer iewers wat jy sonder die tonnel kan bereik, en noteer terselfdertyd die box se eksterne naam.
’n Konfigurasie wat nog nooit van buite getoets is nie, is ’n plan eerder as ’n werkende afstandtoegangspad. Toets een LAN-gasheer by adres eerder as by naam, sodat ’n DNS-fout nie vir ’n roeteringsfout aangesien word nie.