FRITZ!Box VPN সংযুক্ত হয় কিন্তু কোনো উত্তর আসে না: WireGuard না IPSec
সংযুক্ত FRITZ!Box টানেল যখন ল্যানে পৌঁছায় না, সেটি ঠিকানা-সংক্রান্ত সমস্যা। পুনরায় আমদানির আগে চারটি IPSec ক্ষেত্র বা WireGuard পিয়ার যাচাই করুন।
টানেল জানায় যে সংযোগ হয়েছে, আইকন সবুজ, অথচ বাড়ির ল্যানে কিছুই উত্তর দেয় না। এটি FRITZ!Box দূরবর্তী অ্যাক্সেসের সবচেয়ে সাধারণ অভিযোগ, এবং প্রায় কখনোই টানেল নিজে দায়ী নয়। ঠিকানা পরিকল্পনা, সাবনেট পরিচয় বা ক্লায়েন্টের রুট টেবিল ভুল। এর মধ্যে কোনটি আপনি ডিবাগ করবেন তা নির্ভর করে আপনি WireGuard নাকি পুরোনো IPSec Fernzugang বেছেছেন তার উপর, তাই শুরু করুন আপনি আসলে কোনটি কনফিগার করেছেন তা জেনে।
টানেল উঠে আসে, ল্যান নীরব থাকে
যে টানেল প্রতিষ্ঠিত হয় তা প্রমাণ করে কী ও এন্ডপয়েন্ট ঠিক আছে। এটি প্রমাণ করে না যে ক্লায়েন্ট এমন ঠিকানা পেয়েছে যেখানে বক্স রুট করতে পারে, বা ক্লায়েন্ট জানে কোন প্রিফিক্সগুলো টানেলের অন্তর্গত। এগুলো দুটি আলাদা সাফল্য, এবং কেবল দ্বিতীয়টিই আপনাকে প্রিন্টারে পৌঁছাতে দেয়।
আগে ক্লায়েন্টের ঠিকানা দেখুন, তারপর তার রুট টেবিল।
যদি বরাদ্দ করা ঠিকানা ল্যান সাবনেটের বাইরে থাকে, তবে বক্সের ফিরে রুট করার কিছু নেই। যদি এটি DHCP রেঞ্জের ভিতরে থাকে, তবে বক্স একই ঠিকানা একটি স্থানীয় ডিভাইসকে দিতে পারে। দুটোই এমন টানেল তৈরি করে যা সংযুক্ত হয় আর এমন ল্যান যা আপনাকে উপেক্ষা করে।
প্রতিটি অপশন আসলে কী কনফিগার করে
IPSec অপশন একজন ব্যবহারকারীর জন্য একটি কনফিগারেশন ফাইল তৈরি করে, যাতে থাকে পূর্ব-শেয়ার করা কী এবং ঠিকানা বিন্যাস। আপনি এটি এমন ক্লায়েন্টে আমদানি করেন যা একই প্রোফাইল বোঝে, আর উইন্ডোজে এর অর্থ সাধারণত নির্মাতার টুল, বিল্ট-ইন ক্লায়েন্ট নয়। WireGuard অপশন একটি ডিভাইসের জন্য পিয়ার তৈরি করে: একটি কী জোড়া, টানেলের ভিতরে একটি ঠিকানা এবং একটি এন্ডপয়েন্ট।
এই পার্থক্যই আপনার রক্ষণাবেক্ষণ মডেল নির্ধারণ করে। প্রতিটি WireGuard ডিভাইস নিজস্ব কী-সহ আলাদা পিয়ার, তাই হারানো ফোন বাতিল করার অর্থ একটি পিয়ার মুছে ফেলা, বাকিগুলো কাজ করতে থাকে। IPSec বাতিল করে শেয়ার করা সিক্রেট বা ব্যবহারকারীর কনফিগারেশন বদলে, যা মোটা দানা এবং এটি ব্যবহার করা প্রতিটি ডিভাইসে প্রভাব ফেলে।
কোনো অপশনই অপ্রচলিত নয়। যেখানে দূরপ্রান্ত WireGuard চালাতে পারে না, সেখানে IPSec পথই সমর্থিত থাকে।
যে IPSec ক্ষেত্রগুলো মৃত টানেল তৈরি করে
চারটি মান আপনার ল্যানের সঙ্গে মিলতে হবে, এবং তাদের তিনটি এমনভাবে ব্যর্থ হয় যা ভাঙা টানেলের মতো দেখায়।
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
নেটওয়ার্ক ঠিকানাই মানুষকে ফাঁদে ফেলে। একটি সাবনেট চেনা হয় তার প্রথম ঠিকানা দিয়ে, যা সাধারণত শূন্য দিয়ে শেষ হয়, আর সেখানে হোস্ট ঠিকানা লিখলে এমন কনফিগারেশন তৈরি হয় যা দেখতে পুরোপুরি বিশ্বাসযোগ্য অথচ কখনো সংযুক্ত হয় না। DHCP রেঞ্জ আলাদা কারণে গুরুত্বপূর্ণ: টানেল ক্লায়েন্টদের সাধারণত এর উপরে বরাদ্দ করা হয়, তাই যে রেঞ্জ পুরো সাবনেট খেয়ে ফেলে তা বিতরণের জন্য কিছু রাখে না।
ওভারল্যাপিং সাবনেট আরেকটি চিরাচরিত ঘটনা। আপনি যে দূরবর্তী ল্যানে যুক্ত হচ্ছেন তা যদি আপনার বসে থাকা ল্যানের মতো একই প্রিফিক্স ব্যবহার করে, তবে রাউটিং দুটিকে আলাদা করতে পারে না, আর এক দিক নতুন করে নম্বর দেওয়াই একমাত্র সত্যিকার সমাধান। ক্লায়েন্ট কনফিগারেশনের কোনো পরিমাণই এটি সমাধান করে না।
কেন WireGuard ভিন্নভাবে ব্যর্থ হয়
WireGuard-এ ভুল টাইপ করার মতো পূর্ব-শেয়ার করা কী নেই, তাই এর ব্যর্থতাগুলো পিয়ার সংজ্ঞার চারপাশে জড়ো হয়। যে অনুমোদিত IP তালিকা ল্যান প্রিফিক্স বাদ দেয় তা এমন টানেল তৈরি করে যা কিছুই বহন করে না, কারণ ক্লায়েন্ট কখনো ল্যান-গামী ট্রাফিক তার ভিতরে পাঠায় না। যেকোনো পাশে পুরোনো পাবলিক কী এমন হ্যান্ডশেক তৈরি করে যা কখনো সম্পূর্ণ হয় না। এন্ডপয়েন্ট না থাকা বা ভুল পোর্ট ত্রুটি নয়, নীরবতা তৈরি করে।
ফাইল আবার আমদানি করে আশা করার বদলে দুই পাশ ক্ষেত্র ধরে ধরে তুলনা করুন।
একমাত্র সাধারণ ব্যর্থতা হল সাবনেট সংঘর্ষ। WireGuard খুশি মনে আপনার স্থানীয় নেটওয়ার্কের সঙ্গে ওভারল্যাপ করা নেটওয়ার্কে টানেল বানাবে, তারপর রুট টেবিল ঠিক করে দেবে দুটি অভিন্ন প্রিফিক্সের মধ্যে কোনটি জিতবে।
বাইরে থেকে প্রমাণ করুন, তারপর ভিতরে ফেরার পথ রাখুন
মোবাইল সংযোগ থেকে পরীক্ষা করুন, কখনো ল্যানের ভিতর থেকে নয়, কারণ ভিতর থেকে আপনি এমন পথ পরীক্ষা করছেন যাতে টানেলের কোনো ভূমিকাই নেই। প্রতিটি অপশন কোন পোর্ট ব্যবহার করে তা চালু করার আগে লিখে রাখুন, এবং সেই পোর্ট বক্সে ফরোয়ার্ড করুন।
তৈরি হওয়া ফাইলটি এমন জায়গায় রাখুন যেখানে টানেল ছাড়াই পৌঁছানো যায়, আর সেই সঙ্গে বক্সের বাহ্যিক নামও টুকে রাখুন।
যে কনফিগারেশন কখনো বাইরে থেকে পরীক্ষা করা হয়নি তা একটি পরিকল্পনা, কাজ করা দূরবর্তী অ্যাক্সেস পথ নয়। একটি ল্যান হোস্ট নাম দিয়ে নয়, ঠিকানা দিয়ে পরীক্ষা করুন, যাতে DNS ব্যর্থতা রাউটিং ব্যর্থতা হিসেবে ভুল না হয়।