FRITZ!Boxi VPN ühendub, aga miski ei vasta: WireGuard või IPSec
Ühendatud FRITZ!Boxi tunnel, mis LAN-i ei jõua, on adresseerimisprobleem. Kontrollige nelja IPSec välja või WireGuard peer’i enne uuesti importimist.
Tunnel teatab, et on ühendatud, ikoon on roheline ja koduses LAN-is ei vasta miski. See on FRITZ!Boxi kaugjuurdepääsu kõige tavalisem kaebus ja peaaegu kunagi ei ole süüdi tunnel ise. Aadressiplaan, alamvõrgu identiteet või kliendi marsruuditabel on vale. Millist neist te lõpuks siluma hakkate, sõltub sellest, kas valisite WireGuardi või vanema IPSec Fernzugangi, seega alustage teadmisest, mille te tegelikult seadistasite.
Tunnel tõuseb ja LAN jääb vaikseks
Tunnel, mis püstitub, tõestab, et võtmed ja lõpp-punkt on õiged. See ei tõesta, et klient sai aadressi, kuhu seade saab marsruutida, ega et klient teab, millised prefiksid tunnelisse kuuluvad. Need on kaks eraldi õnnestumist ja ainult teine lubab teil printerini jõuda.
Kontrollige esmalt kliendi aadressi, seejärel tema marsruuditabelit.
Kui määratud aadress asub väljaspool LAN-i alamvõrku, ei ole seadmel kuhugi tagasi marsruutida. Kui see asub DHCP vahemikus, võib seade anda sama aadressi kohalikule seadmele. Mõlemad annavad tulemuseks tunneli, mis ühendub, ja LAN-i, mis teid eirab.
Mida kumbki valik tegelikult seadistab
IPSec valik loob ühe kasutaja jaoks konfiguratsioonifaili, mis sisaldab eeljagatud võtit ja adresseerimist. Impordite selle klienti, mis räägib sama profiili, mis Windowsis tähendab tavaliselt tootja tööriista, mitte sisseehitatud klienti. WireGuardi valik loob ühe seadme jaoks peer’i: võtmepaari, aadressi tunnelis ja lõpp-punkti.
See erinevus otsustab teie hooldusmudeli. Iga WireGuardi seade on eraldi peer oma võtmega, seega kadunud telefoni tühistamine tähendab ühe peer’i kustutamist, samal ajal kui teised töötavad edasi. IPSec tühistab ühise saladuse või kasutaja konfiguratsiooni muutmisega, mis on jämedam ja mõjutab iga seadet, mis seda kasutab.
Kumbki valik ei ole vananenud. IPSec tee jääb toetatuks kõikjal, kus vastaspool ei saa WireGuard’i käivitada.
IPSec väljad, mis annavad surnud tunneli
Neli väärtust peavad teie LAN-iga kokku sobima ja kolm neist ebaõnnestuvad nii, et see näeb välja nagu katkine tunnel.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Võrgu aadress on see, mis inimesi tabab. Alamvõrk tuvastatakse oma esimese aadressi järgi, mis tavaliselt lõpeb nulliga, ja hosti aadressi sinna sisestamine annab konfiguratsiooni, mis näeb täiesti usutav välja ega ühendu kunagi. DHCP vahemik on oluline teisel põhjusel: tunneli kliendid määratakse tavaliselt sellest kõrgemale, seega kogu alamvõrgu ära kulutav vahemik ei jäta midagi jagada.
Kattuvad alamvõrgud on teine klassikaline juhtum. Kui kaug-LAN, millega liitute, kasutab sama prefiksit kui LAN, mille peal istute, ei suuda marsruutimine neid eristada ja ainus tõeline parandus on ühe poole ümbernummerdamine. Ükski kliendi konfiguratsiooni hulk ei lahenda seda.
Miks WireGuard ebaõnnestub teisiti
WireGuardil ei ole eeljagatud võtit, mida valesti trükkida, seega koonduvad selle tõrked hoopis peer’i definitsiooni ümber. Lubatud IP-de loend, mis jätab LAN-i prefiksi välja, annab tunneli, mis ei kanna midagi, sest klient ei saada kunagi LAN-i suunatud liiklust sellesse. Aegunud avalik võti kummalgi poolel annab käepigistuse, mis ei lõpe kunagi. Puuduv lõpp-punkt või vale port annab vaikuse, mitte vea.
Võrrelge mõlemat poolt väli välja haaval, selle asemel et fail uuesti importida ja loota.
Ainus ühine tõrge on alamvõrkude kokkupõrge. WireGuard ehitab hea meelega tunneli võrku, mis kattub teie kohalikuga, ja siis otsustab marsruuditabel, milline kahest identsest prefiksist võidab.
Tõestage seda väljastpoolt ja hoidke siis tagasitee lahti
Testige mobiilühendusest, mitte kunagi LAN-i seest, sest seestpoolt testite teed, mis tunnelit üldse ei hõlma. Märkige üles, millist porti kumbki valik kasutab, enne kui selle lubate, ja suunake see port seadmele.
Hoidke loodud fail kohas, kuhu pääsete ilma tunnelita, ja pange samal ajal kirja seadme väline nimi.
Konfiguratsioon, mida ei ole kunagi väljastpoolt testitud, on plaan, mitte toimiv kaugjuurdepääsutee. Testige ühte LAN-i hosti aadressi, mitte nime järgi, et DNS-i tõrge ei läheks segamini marsruutimise tõrkega.