El VPN de la FRITZ!Box connecta però no respon res: WireGuard o IPSec
Un túnel FRITZ!Box connectat que no arriba a la LAN és un problema d’adreçament. Reviseu els quatre camps IPSec o el peer de WireGuard abans de tornar a importar.
El túnel diu que està connectat, la icona és verda i res de la LAN de casa no respon. És la queixa més habitual de l’accés remot de la FRITZ!Box i gairebé mai no és el túnel mateix. El pla d’adreces, la identitat de la subxarxa o la taula d’encaminament del client són incorrectes. Quin d’aquests acabarà depurant depèn de si vau triar WireGuard o l’antic IPSec Fernzugang, així que comenceu sabent quin heu configurat de debò.
El túnel s’aixeca i la LAN queda en silenci
Un túnel que s’estableix demostra que les claus i el punt final són correctes. No demostra que el client hagi rebut una adreça a la qual la caixa pugui encaminar, ni que el client sàpiga quins prefixos pertanyen al túnel. Són dos èxits diferents, i només el segon us permet arribar a una impressora.
Comproveu primer l’adreça del client i després la seva taula d’encaminament.
Si l’adreça assignada queda fora de la subxarxa LAN, la caixa no té res a què encaminar de tornada. Si queda dins del rang DHCP, la caixa pot lliurar la mateixa adreça a un dispositiu local. Totes dues coses produeixen un túnel que connecta i una LAN que us ignora.
Què configura realment cada opció
L’opció IPSec genera un fitxer de configuració per a un usuari, amb la clau prèviament compartida i l’adreçament. L’importeu en un client que parla el mateix perfil, cosa que a Windows normalment vol dir l’eina del fabricant i no el client integrat. L’opció WireGuard genera un peer per a un dispositiu: un parell de claus, una adreça dins del túnel i un punt final.
Aquesta diferència decideix el vostre model de manteniment. Cada dispositiu WireGuard és un peer separat amb la seva pròpia clau, així que revocar un mòbil perdut vol dir esborrar un peer mentre els altres continuen funcionant. IPSec revoca canviant el secret compartit o la configuració de l’usuari, cosa més grollera que afecta tots els dispositius que el fan servir.
Cap de les dues opcions no és obsoleta. El camí IPSec continua sent el suportat allà on l’extrem remot no pot executar WireGuard.
Els camps IPSec que produeixen un túnel mort
Quatre valors han de coincidir amb la vostra LAN, i tres d’ells fallen de maneres que semblen un túnel espatllat.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
L’adreça de xarxa és la que enganya la gent. Una subxarxa s’identifica per la seva primera adreça, que normalment acaba en zero, i introduir-hi una adreça d’equip produeix una configuració que sembla del tot versemblant i que no connecta mai. El rang DHCP importa per un altre motiu: els clients del túnel s’assignen normalment per sobre seu, així que un rang que consumeix tota la subxarxa no deixa res per repartir.
Les subxarxes solapades són l’altre cas clàssic. Si la LAN remota a què us uniu fa servir el mateix prefix que la LAN on esteu asseguts, l’encaminament no les pot distingir, i renumerar un dels dos costats és l’única solució real. Cap quantitat de configuració del client no ho resol.
Per què WireGuard falla de manera diferent
WireGuard no té cap clau prèviament compartida que es pugui escriure malament, així que les seves fallades s’agrupen al voltant de la definició del peer. Una llista d’IP permeses que omet el prefix de la LAN produeix un túnel que no transporta res, perquè el client no hi envia mai trànsit destinat a la LAN. Una clau pública antiga a qualsevol dels dos costats produeix un intercanvi que no s’acaba mai. Un punt final que falta o un port equivocat produeixen silenci en lloc d’un error.
Compareu els dos costats camp per camp en lloc de tornar a importar el fitxer i esperar.
L’única fallada compartida és la col·lisió de subxarxes. WireGuard us construirà alegrement un túnel cap a una xarxa que se solapa amb la vostra, i llavors la taula d’encaminament decideix quin dels dos prefixos idèntics guanya.
Demostreu-ho des de fora i després guardeu una via de tornada
Proveu-ho des d’una connexió mòbil, mai des de dins de la LAN, perquè des de dins esteu provant un camí que no implica el túnel en absolut. Anoteu quin port fa servir cada opció abans d’activar-la i redirigiu aquell port a la caixa.
Guardeu el fitxer generat en un lloc on pugueu arribar sense el túnel, i de passada anoteu el nom extern de la caixa.
Una configuració que mai no s’ha provat des de fora és un pla, no un camí d’accés remot que funcioni. Proveu un equip de la LAN per adreça i no per nom, perquè una fallada de DNS no es confongui amb una fallada d’encaminament.