VPN في FRITZ!Box يتصل ولا يجيب أي شيء: WireGuard أم IPSec
نفق FRITZ!Box المتصل الذي لا يستطيع الوصول إلى الشبكة المحلية مشكلة في العنونة. افحص حقول IPSec الأربعة أو قرين WireGuard قبل إعادة الاستيراد.
يُبلّغ النفق عن حالة اتصال، والأيقونة خضراء، ولا شيء في الشبكة المحلية المنزلية يجيب. هذه أشيع شكوى تتعلق بالوصول عن بُعد إلى FRITZ!Box، وهي لا تكون النفق نفسه تقريبًا في أي حال. خطة العنونة أو هوية الشبكة الفرعية أو جدول التوجيه لدى العميل خطأ. وأي هذه الأشياء ستُنقّحه في النهاية يتوقف على ما إذا اخترت WireGuard أو IPSec Fernzugang الأقدم، فابدأ بمعرفة أيّهما أعددته فعلًا.
النفق يقوم والشبكة المحلية تبقى صامتة
النفق الذي يقوم يثبت أن المفاتيح ونقطة الطرف صحيحة. لكنه لا يثبت أن العميل حصل على عنوان يستطيع الصندوق التوجيه إليه، ولا أن العميل يعرف أي بادئات تنتمي إلى النفق. هذان نجاحان منفصلان، والثاني وحده هو ما يتيح لك الوصول إلى طابعة.
افحص عنوان العميل أولًا، ثم جدول التوجيه لديه.
إذا كان العنوان المخصص يقع خارج الشبكة الفرعية المحلية، فليس لدى الصندوق ما يعود إليه بالتوجيه. وإذا كان يقع داخل نطاق DHCP، فقد يمنح الصندوق العنوان نفسه لجهاز محلي. وكلتا الحالتين تنتجان نفقًا يتصل وشبكة محلية تتجاهلك.
ما يعده كل خيار فعليًا
خيار IPSec يولّد ملف إعداد لمستخدم واحد، يحتوي على المفتاح المشترك المسبق والعنونة. تستورده في عميل يتحدث الملف الشخصي نفسه، وهذا على Windows يعني عادة أداة المورّد لا العميل المدمج. وخيار WireGuard يولّد قرينًا لجهاز واحد: زوج مفاتيح، وعنوانًا داخل النفق، ونقطة طرف.
هذا الفرق يحدد نموذج الصيانة لديك. كل جهاز WireGuard قرين منفصل بمفتاحه الخاص، لذا يعني سحب الثقة من هاتف مفقود حذف قرين واحد بينما تستمر البقية في العمل. أما IPSec فيسحب الثقة بتغيير السر المشترك أو إعداد المستخدم، وهو أخشن ويؤثر في كل جهاز يستخدمه.
لا خيار منهما مهجور. يبقى مسار IPSec هو المدعوم حيثما تعذّر على الطرف البعيد تشغيل WireGuard.
حقول IPSec التي تنتج نفقًا ميتًا
أربع قيم يجب أن تتوافق مع شبكتك المحلية، وثلاث منها تفشل بطرق تشبه نفقًا معطلًا.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
عنوان الشبكة هو ما يوقع الناس. تُعرَّف الشبكة الفرعية بعنوانها الأول، الذي ينتهي عادة بالصفر، وإدخال عنوان مضيف هناك ينتج إعدادًا يبدو معقولًا تمامًا ولا يتصل أبدًا. أما نطاق DHCP فأمره يهم لسبب مختلف: عملاء النفق يُخصَّصون عادة فوقه، لذا فالنطاق الذي يستهلك الشبكة الفرعية كلها لا يترك شيئًا لتوزيعه.
تداخل الشبكات الفرعية هو الحالة الكلاسيكية الأخرى. إذا كانت الشبكة المحلية البعيدة التي تنضم إليها تستخدم البادئة نفسها التي تستخدمها الشبكة المحلية التي تجلس عليها، فلا يستطيع التوجيه التمييز بينهما، وإعادة ترقيم أحد الجانبين هي الإصلاح الحقيقي الوحيد. ولا يحلّها أي قدر من إعداد العميل.
لماذا يفشل WireGuard على نحو مختلف
لا يملك WireGuard مفتاحًا مشتركًا مسبقًا يُكتب خطأً، لذا تتجمع أعطاله حول تعريف القرين بدلًا من ذلك. قائمة عناوين IP المسموح بها التي تغفل بادئة الشبكة المحلية تنتج نفقًا لا يحمل شيئًا، لأن العميل لا يرسل أبدًا حركة المرور المتجهة إلى الشبكة المحلية عبره. مفتاح عام قديم على أي من الجانبين ينتج مصافحة لا تكتمل أبدًا. ونقطة طرف ناقصة أو منفذ خطأ ينتج صمتًا لا خطأ.
قارن الجانبين حقلًا بحقل بدلًا من إعادة استيراد الملف والأمل.
الفشل المشترك الوحيد هو تصادم الشبكات الفرعية. سيبني WireGuard عن طيب خاطر نفقًا إلى شبكة تتداخل مع شبكتك المحلية، ثم يقرر جدول التوجيه أي البادئتين المتطابقتين تفوز.
أثبته من الخارج، ثم احتفظ بطريق للعودة إلى الداخل
اختبر من اتصال جوّال، لا من داخل الشبكة المحلية أبدًا، لأنك من الداخل تختبر مسارًا لا علاقة له بالنفق إطلاقًا. سجّل المنفذ الذي يستخدمه كل خيار قبل تمكينه، ووجّه ذلك المنفذ إلى الصندوق.
احفظ الملف المولّد في مكان تستطيع الوصول إليه دون النفق، ودوّن اسم الصندوق الخارجي في أثناء ذلك.
الإعداد الذي لم يُختبر من الخارج قط خطة لا مسار وصول عن بُعد عامل. اختبر مضيفًا محليًا واحدًا بالعنوان لا بالاسم، حتى لا يُخلط بين عطل DNS وعطل التوجيه.