VPN na FRITZ!Box se připojí, ale nic neodpovídá: WireGuard, nebo IPSec
Připojený tunel FRITZ!Box, který se nedostane do LAN, je problém s adresováním. Zkontrolujte čtyři pole IPSec nebo peer WireGuard, než znovu naimportujete.
Tunel hlásí připojeno, ikona je zelená a v domácí LAN nic neodpovídá. To je nejčastější stížnost na vzdálený přístup k FRITZ!Box a téměř nikdy to není samotný tunel. Špatný je plán adres, identita podsítě nebo směrovací tabulka klienta. Kterou z těch věcí budete nakonec ladit, závisí na tom, zda jste zvolili WireGuard, nebo starší IPSec Fernzugang, takže začněte tím, že víte, co jste vlastně nastavili.
Tunel naskočí a LAN mlčí
Tunel, který se naváže, dokazuje, že klíče a koncový bod jsou správné. Nedokazuje, že klient dostal adresu, na kterou umí box směrovat, ani že klient ví, které prefixy do tunelu patří. To jsou dva oddělené úspěchy a jen ten druhý vám umožní dostat se na tiskárnu.
Zkontrolujte nejdřív adresu klienta, potom jeho směrovací tabulku.
Pokud přidělená adresa leží mimo podsíť LAN, box nemá kam směrovat zpět. Pokud leží uvnitř rozsahu DHCP, může box stejnou adresu přidělit místnímu zařízení. Obojí vede k tunelu, který se připojí, a k LAN, která vás ignoruje.
Co která volba skutečně nastavuje
Volba IPSec vygeneruje konfigurační soubor pro jednoho uživatele, který obsahuje předsdílený klíč a adresování. Naimportujete ho do klienta, který mluví stejným profilem, což ve Windows obvykle znamená nástroj výrobce, nikoli vestavěný klient. Volba WireGuard vygeneruje peer pro jedno zařízení: pár klíčů, adresu uvnitř tunelu a koncový bod.
Ten rozdíl určuje váš model údržby. Každé zařízení WireGuard je samostatný peer s vlastním klíčem, takže odvolání ztraceného telefonu znamená smazat jeden peer, zatímco ostatní dál fungují. IPSec odvolává změnou sdíleného tajemství nebo konfigurace uživatele, což je hrubší a zasahuje každé zařízení, které ho používá.
Ani jedna volba není zastaralá. Cesta přes IPSec zůstává podporovaná všude tam, kde vzdálená strana neumí provozovat WireGuard.
Pole IPSec, která vytvoří mrtvý tunel
Čtyři hodnoty musí souhlasit s vaší LAN a tři z nich selhávají tak, že to vypadá jako rozbitý tunel.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Síťová adresa je ta, která lidi nachytá. Podsíť se identifikuje svou první adresou, která obvykle končí nulou, a zadání adresy hostitele na toto místo vytvoří konfiguraci, jež vypadá naprosto uvěřitelně a nikdy se nepřipojí. Rozsah DHCP je důležitý z jiného důvodu: klienti tunelu se obvykle přidělují nad ním, takže rozsah, který spotřebuje celou podsíť, nenechá nic k rozdání.
Překrývající se podsítě jsou druhý klasický případ. Pokud vzdálená LAN, ke které se připojujete, používá stejný prefix jako LAN, na které sedíte, směrování je nedokáže rozlišit a přečíslování jedné strany je jediná skutečná oprava. Žádné množství klientské konfigurace to nevyřeší.
Proč WireGuard selhává jinak
WireGuard nemá předsdílený klíč, který by šel přepsat, takže jeho selhání se soustředí kolem definice peer. Seznam povolených IP, který vynechá prefix LAN, vytvoří tunel, jenž nic nenese, protože klient do něj nikdy nepošle provoz směřující do LAN. Zastaralý veřejný klíč na kterékoli straně vytvoří výměnu, která se nikdy nedokončí. Chybějící koncový bod nebo špatný port vytvoří ticho místo chyby.
Porovnejte obě strany pole po poli, místo abyste soubor znovu importovali a doufali.
Jediné společné selhání je kolize podsítí. WireGuard ochotně postaví tunel do sítě, která se překrývá s vaší místní, a pak směrovací tabulka rozhodne, který ze dvou shodných prefixů vyhraje.
Dokažte to zvenčí a pak si nechte cestu zpět dovnitř
Testujte z mobilního připojení, nikdy zevnitř LAN, protože zevnitř testujete cestu, která tunel vůbec nezahrnuje. Poznamenejte si, který port každá volba používá, než ji zapnete, a přepošlete ten port na box.
Uložte vygenerovaný soubor někam, kam se dostanete bez tunelu, a při tom si poznamenejte externí jméno boxu.
Konfigurace, která nikdy nebyla otestována zvenčí, je plán, ne fungující cesta vzdáleného přístupu. Testujte jednoho hostitele v LAN podle adresy, ne podle jména, aby se selhání DNS nepletlo se selháním směrování.