VPN у FRITZ!Box падключаецца, але нішто не адказвае: WireGuard ці IPSec
Падключаны тунель FRITZ!Box, які не дасягае лакальнай сеткі, — гэта праблема адрасацыі. Праверце чатыры палі IPSec або peer WireGuard перад паўторным імпартам.
Тунель паведамляе, што злучэнне ёсць, значок зялёны, але нішто ў хатняй лакальнай сетцы не адказвае. Гэта самая частая скарга на аддалены доступ FRITZ!Box, і амаль ніколі вінаваты не сам тунель. Няправільныя план адрасоў, ідэнтычнасць падсеткі або табліца маршрутаў кліента. Што менавіта вы будзеце адладжваць, залежыць ад таго, ці выбралі вы WireGuard, ці старэйшы IPSec Fernzugang, таму пачніце з таго, што вы насамрэч наладзілі.
Тунель узнімаецца, а лакальная сетка маўчыць
Тунель, які ўсталёўваецца, даказвае, што ключы і канцавы пункт правільныя. Ён не даказвае, што кліент атрымаў адрас, на які бокс можа маршрутызаваць, ці што кліент ведае, якія прэфіксы належаць тунелю. Гэта два асобныя поспехі, і толькі другі дазваляе дасягнуць прынтара.
Спачатку праверце адрас кліента, потым яго табліцу маршрутаў.
Калі прызначаны адрас ляжыць па-за падсеткай лакальнай сеткі, боксу няма куды маршрутызаваць назад. Калі ён ляжыць унутры дыяпазону DHCP, бокс можа выдаць той жа адрас лакальнай прыладзе. Абодва варыянты даюць тунель, які падключаецца, і лакальную сетку, якая вас ігнаруе.
Што насамрэч наладжвае кожны варыянт
Варыянт IPSec стварае файл канфігурацыі для аднаго карыстальніка, які змяшчае папярэдне агульны ключ і адрасацыю. Вы імпартуеце яго ў кліент, які разумее той жа профіль, а на Windows гэта звычайна інструмент вытворцы, а не ўбудаваны кліент. Варыянт WireGuard стварае peer для адной прылады: пару ключоў, адрас унутры тунеля і канцавы пункт.
Гэтая розніца вызначае вашу мадэль абслугоўвання. Кожная прылада WireGuard — асобны peer са сваім ключом, таму адклікаць згублены тэлефон значыць выдаліць адзін peer, пакуль астатнія працуюць. IPSec адклікае праз змену агульнага сакрэту або канфігурацыі карыстальніка, што грубей і закранае кожную прыладу, якая яго выкарыстоўвае.
Ні адзін варыянт не састарэў. Шлях IPSec застаецца падтрыманым усюды, дзе далёкі бок не можа запускаць WireGuard.
Палі IPSec, якія даюць мёртвы тунель
Чатыры значэнні павінны ўзгадвацца з вашай лакальнай сеткай, і тры з іх адмаўляюць так, што выглядае як зламаны тунель.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Менавіта адрас сеткі часцей за ўсё блытаюць. Падсетка вызначаецца сваім першым адрасам, які звычайна сканчаецца нулём, і ўвод адраса вузла там дае канфігурацыю, што выглядае цалкам праўдападобна і ніколі не падключаецца. Дыяпазон DHCP важны па іншай прычыне: кліенты тунеля звычайна атрымліваюць адрасы вышэй за яго, таму дыяпазон, які займае ўсю падсетку, не пакідае нічога для выдачы.
Перакрыжаваныя падсеткі — другі класічны выпадак. Калі аддаленая сетка, да якой вы далучаецеся, выкарыстоўвае той жа прэфікс, што і сетка, на якой вы сядзіце, маршрутызацыя не можа іх адрозніць, і перанумарацыя аднаго боку — адзінае сапраўднае рашэнне. Ніякая колькасць кліенцкай канфігурацыі гэтага не вырашае.
Чаму WireGuard адмаўляе інакш
У WireGuard няма папярэдне агульнага ключа, які можна напісаць з памылкай, таму яго збоі групавацца вакол вызначэння peer. Спіс дазволеных IP, які апускае прэфікс лакальнай сеткі, дае тунель, што нічога не нясе, бо кліент ніколі не адпраўляе ў яго трафік, накіраваны ў лакальную сетку. Састарэлы публічны ключ на любым баку дае рукапацісканне, якое ніколі не завяршаецца. Адсутны канцавы пункт або няправільны порт дае цішыню, а не памылку.
Параўнайце абодва бакі поле за полем, а не проста імпартуйце файл зноў і спадзейцеся.
Адзіная агульная адмова — сутыкненне падсетак. WireGuard ахвотна пабудуе тунель да сеткі, якая перакрываецца з вашай лакальнай, і тады табліца маршрутаў вырашыць, які з двух аднолькавых прэфіксаў пераможа.
Дакажыце гэта звонку, а потым пакіньце шлях вяртання ўнутр
Тэстуйце з мабільнага злучэння, ніколі знутры лакальнай сеткі, бо знутры вы тэстуеце шлях, які зусім не закранае тунель. Запішыце, які порт выкарыстоўвае кожны варыянт, перад тым як уключыць яго, і перанакіруйце гэты порт на бокс.
Трымайце згенераваны файл там, куды можна дабрацца без тунеля, і заадно запішыце знешняе імя бокса.
Канфігурацыя, якая ніколі не тэставалася звонку, — гэта план, а не працоўны шлях аддаленага доступу. Тэстуйце адзін вузел лакальнай сеткі па адрасе, а не па імені, каб збой DNS не прынялі за збой маршрутызацыі.