VPN στο FRITZ!Box συνδέεται αλλά τίποτα δεν απαντά: WireGuard ή IPSec

Το τούνελ αναφέρει ότι συνδέθηκε, το εικονίδιο είναι πράσινο και τίποτα στο οικιακό LAN δεν απαντά. Αυτό είναι το συνηθέστερο παράπονο για την απομακρυσμένη πρόσβαση του FRITZ!Box και σχεδόν ποτέ δεν φταίει το ίδιο το τούνελ. Το σχέδιο διευθύνσεων, η ταυτότητα του υποδικτύου ή ο πίνακας δρομολόγησης του πελάτη είναι λάθος. Ποιο από αυτά θα καταλήξετε να εντοπίζετε εξαρτάται από το αν επιλέξατε WireGuard ή το παλαιότερο IPSec Fernzugang, οπότε ξεκινήστε γνωρίζοντας ποιο ρυθμίσατε πραγματικά.

Το τούνελ σηκώνεται και το LAN μένει σιωπηλό

Ένα τούνελ που εγκαθίσταται αποδεικνύει ότι τα κλειδιά και το τελικό σημείο είναι σωστά. Δεν αποδεικνύει ότι ο πελάτης πήρε διεύθυνση προς την οποία το κουτί μπορεί να δρομολογήσει, ούτε ότι ο πελάτης γνωρίζει ποια προθέματα ανήκουν στο τούνελ. Αυτές είναι δύο ξεχωριστές επιτυχίες και μόνο η δεύτερη σας επιτρέπει να φτάσετε σε έναν εκτυπωτή.

Ελέγξτε πρώτα τη διεύθυνση του πελάτη και μετά τον πίνακα δρομολόγησής του.

Αν η εκχωρημένη διεύθυνση βρίσκεται έξω από το υποδίκτυο του LAN, το κουτί δεν έχει πού να δρομολογήσει πίσω. Αν βρίσκεται μέσα στο εύρος DHCP, το κουτί μπορεί να δώσει την ίδια διεύθυνση σε μια τοπική συσκευή. Και τα δύο παράγουν ένα τούνελ που συνδέεται και ένα LAN που σας αγνοεί.

Τι ρυθμίζει στην πραγματικότητα κάθε επιλογή

Η επιλογή IPSec παράγει ένα αρχείο ρυθμίσεων για έναν χρήστη, που περιέχει το προκοινόχρηστο κλειδί και τη διευθυνσιοδότηση. Το εισάγετε σε έναν πελάτη που μιλά το ίδιο προφίλ, κάτι που στα Windows συνήθως σημαίνει το εργαλείο του κατασκευαστή και όχι τον ενσωματωμένο πελάτη. Η επιλογή WireGuard παράγει έναν peer για μία συσκευή: ένα ζεύγος κλειδιών, μια διεύθυνση μέσα στο τούνελ και ένα τελικό σημείο.

Αυτή η διαφορά καθορίζει το μοντέλο συντήρησής σας. Κάθε συσκευή WireGuard είναι ξεχωριστός peer με δικό του κλειδί, οπότε η ανάκληση ενός χαμένου τηλεφώνου σημαίνει διαγραφή ενός peer ενώ τα υπόλοιπα συνεχίζουν να λειτουργούν. Το IPSec ανακαλεί αλλάζοντας το κοινό μυστικό ή τη ρύθμιση του χρήστη, κάτι πιο χονδρικό που επηρεάζει κάθε συσκευή που το χρησιμοποιεί.

Καμία από τις δύο επιλογές δεν είναι παρωχημένη. Η διαδρομή IPSec παραμένει η υποστηριζόμενη όπου το απομακρυσμένο άκρο δεν μπορεί να εκτελέσει WireGuard.

Τα πεδία IPSec που παράγουν νεκρό τούνελ

Τέσσερις τιμές πρέπει να συμφωνούν με το LAN σας και οι τρεις από αυτές αποτυγχάνουν με τρόπο που μοιάζει με χαλασμένο τούνελ.

Η διεύθυνση δικτύου είναι αυτή που παγιδεύει τον κόσμο. Ένα υποδίκτυο αναγνωρίζεται από την πρώτη του διεύθυνση, που συνήθως τελειώνει σε μηδέν, και η καταχώριση διεύθυνσης υπολογιστή εκεί παράγει ρυθμίσεις που φαίνονται απολύτως πειστικές και δεν συνδέονται ποτέ. Το εύρος DHCP έχει σημασία για άλλο λόγο: οι πελάτες του τούνελ συνήθως εκχωρούνται πάνω από αυτό, οπότε ένα εύρος που καταναλώνει όλο το υποδίκτυο δεν αφήνει τίποτα για διανομή.

Τα επικαλυπτόμενα υποδίκτυα είναι η άλλη κλασική περίπτωση. Αν το απομακρυσμένο LAN στο οποίο συνδέεστε χρησιμοποιεί το ίδιο πρόθεμα με το LAN στο οποίο κάθεστε, η δρομολόγηση δεν μπορεί να τα ξεχωρίσει και η επαναρίθμηση της μίας πλευράς είναι η μόνη πραγματική λύση. Καμία ποσότητα ρυθμίσεων πελάτη δεν το λύνει.

Γιατί το WireGuard αποτυγχάνει διαφορετικά

Το WireGuard δεν έχει προκοινόχρηστο κλειδί για να πληκτρολογήσετε λάθος, οπότε οι αποτυχίες του συγκεντρώνονται γύρω από τον ορισμό του peer. Μια λίστα επιτρεπόμενων IP που παραλείπει το πρόθεμα του LAN παράγει ένα τούνελ που δεν μεταφέρει τίποτα, γιατί ο πελάτης δεν στέλνει ποτέ μέσα του κίνηση προς το LAN. Ένα παρωχημένο δημόσιο κλειδί σε οποιαδήποτε πλευρά παράγει χειραψία που δεν ολοκληρώνεται ποτέ. Ένα απόν τελικό σημείο ή μια λάθος θύρα παράγει σιωπή αντί για σφάλμα.

Συγκρίνετε τις δύο πλευρές πεδίο προς πεδίο αντί να εισάγετε ξανά το αρχείο και να ελπίζετε.

Η μόνη κοινή αποτυχία είναι η σύγκρουση υποδικτύων. Το WireGuard θα χτίσει ευχαρίστως τούνελ προς δίκτυο που επικαλύπτεται με το τοπικό σας και τότε ο πίνακας δρομολόγησης αποφασίζει ποιο από τα δύο ίδια προθέματα κερδίζει.

Αποδείξτε το από έξω και μετά κρατήστε δρόμο επιστροφής

Δοκιμάστε από κινητή σύνδεση, ποτέ από μέσα στο LAN, γιατί από μέσα δοκιμάζετε διαδρομή που δεν αφορά καθόλου το τούνελ. Καταγράψτε ποια θύρα χρησιμοποιεί κάθε επιλογή πριν την ενεργοποιήσετε και προωθήστε αυτή τη θύρα στο κουτί.

Κρατήστε το αρχείο που δημιουργήθηκε κάπου που φτάνετε χωρίς το τούνελ και σημειώστε παράλληλα το εξωτερικό όνομα του κουτιού.

Μια ρύθμιση που δεν δοκιμάστηκε ποτέ από έξω είναι σχέδιο και όχι λειτουργική διαδρομή απομακρυσμένης πρόσβασης. Δοκιμάστε έναν υπολογιστή του LAN με διεύθυνση και όχι με όνομα, ώστε μια αποτυχία DNS να μην περαστεί για αποτυχία δρομολόγησης.