VPN در FRITZ!Box وصل می‌شود اما هیچ چیز پاسخ نمی‌دهد: WireGuard یا IPSec
تونل وصل‌شده FRITZ!Box که به شبکه محلی نمی‌رسد، مسئله آدرس‌دهی است. پیش از وارد کردن دوباره، چهار فیلد IPSec یا peer مربوط به WireGuard را بررسی کنید.
تونل گزارش می‌دهد که وصل است، نماد سبز است و هیچ چیز در شبکه محلی خانه پاسخ نمی‌دهد. این رایج‌ترین شکایت درباره دسترسی از راه دور FRITZ!Box است و تقریباً هرگز خود تونل مقصر نیست. طرح آدرس‌ها، هویت زیرشبکه یا جدول مسیریابی کلاینت اشتباه است. اینکه در نهایت کدام یک را عیب‌یابی کنید بستگی دارد به اینکه WireGuard را انتخاب کرده‌اید یا IPSec Fernzugang قدیمی‌تر را، پس با دانستن اینکه واقعاً کدام را پیکربندی کرده‌اید شروع کنید.
تونل بالا می‌آید و شبکه محلی ساکت می‌ماند
تونلی که برقرار می‌شود ثابت می‌کند کلیدها و نقطه پایانی درست هستند. اما ثابت نمی‌کند که کلاینت آدرسی گرفته که جعبه می‌تواند به آن مسیریابی کند، یا اینکه کلاینت می‌داند کدام پیشوندها به تونل تعلق دارند. این‌ها دو موفقیت جداست و تنها دومی به شما اجازه می‌دهد به یک چاپگر برسید.
ابتدا آدرس کلاینت را بررسی کنید، سپس جدول مسیریابی آن را.
اگر آدرس تخصیص‌یافته بیرون از زیرشبکه شبکه محلی باشد، جعبه جایی برای مسیریابی برگشتی ندارد. اگر داخل محدوده DHCP باشد، جعبه ممکن است همان آدرس را به یک دستگاه محلی بدهد. هر دو حالتی می‌سازند که تونل وصل می‌شود و شبکه محلی شما را نادیده می‌گیرد.
هر گزینه در واقع چه چیزی را پیکربندی می‌کند
گزینه IPSec یک فایل پیکربندی برای یک کاربر تولید می‌کند که شامل کلید از پیش اشتراکی و آدرس‌دهی است. آن را در کلاینتی وارد می‌کنید که همان پروفایل را می‌فهمد، که در ویندوز معمولاً یعنی ابزار سازنده و نه کلاینت داخلی. گزینه WireGuard یک peer برای یک دستگاه تولید می‌کند: یک جفت کلید، آدرسی داخل تونل و یک نقطه پایانی.
همین تفاوت مدل نگهداری شما را تعیین می‌کند. هر دستگاه WireGuard یک peer جداگانه با کلید خودش است، پس لغو دسترسی یک گوشی گم‌شده یعنی حذف یک peer در حالی که بقیه به کار خود ادامه می‌دهند. IPSec با تغییر راز مشترک یا پیکربندی کاربر لغو می‌کند، که خشن‌تر است و روی هر دستگاهی که از آن استفاده می‌کند اثر می‌گذارد.
هیچ‌کدام از این دو گزینه منسوخ نیست. مسیر IPSec همان مسیر پشتیبانی‌شده می‌ماند هر جا که طرف دور نمی‌تواند WireGuard را اجرا کند.
فیلدهای IPSec که تونل مرده می‌سازند
چهار مقدار باید با شبکه محلی شما هم‌خوان باشد و سه‌تای آن‌ها به شکلی شکست می‌خورند که شبیه تونل خراب است.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
آدرس شبکه همان چیزی است که مردم را گیر می‌اندازد. زیرشبکه با نخستین آدرسش شناسایی می‌شود که معمولاً به صفر ختم می‌شود، و وارد کردن آدرس میزبان در آنجا پیکربندی‌ای می‌سازد که کاملاً باورپذیر به نظر می‌رسد و هرگز وصل نمی‌شود. محدوده DHCP به دلیل دیگری مهم است: کلاینت‌های تونل معمولاً بالاتر از آن تخصیص می‌یابند، پس محدوده‌ای که تمام زیرشبکه را می‌بلعد چیزی برای توزیع باقی نمی‌گذارد.
زیرشبکه‌های هم‌پوشان مورد کلاسیک دیگر است. اگر شبکه محلی دوری که به آن می‌پیوندید همان پیشوند شبکه محلی‌ای را داشته باشد که روی آن نشسته‌اید، مسیریابی نمی‌تواند آن دو را از هم تشخیص دهد و شماره‌گذاری دوباره یک طرف تنها راه‌حل واقعی است. هیچ مقدار پیکربندی کلاینت آن را حل نمی‌کند.
چرا WireGuard به شکل دیگری شکست می‌خورد
WireGuard کلید از پیش اشتراکی ندارد که اشتباه تایپ شود، پس شکست‌هایش به جای آن حول تعریف peer جمع می‌شود. فهرست IPهای مجاز که پیشوند شبکه محلی را جا می‌اندازد تونلی می‌سازد که چیزی حمل نمی‌کند، چون کلاینت هرگز ترافیک رو به شبکه محلی را داخل آن نمی‌فرستد. یک کلید عمومی کهنه در هر یک از دو طرف دست‌دهی‌ای می‌سازد که هرگز کامل نمی‌شود. نبود نقطه پایانی یا پورت اشتباه سکوت می‌سازد نه خطا.
به جای وارد کردن دوباره فایل و امید بستن، دو طرف را فیلد به فیلد مقایسه کنید.
تنها شکست مشترک برخورد زیرشبکه است. WireGuard با کمال میل تونلی به شبکه‌ای می‌سازد که با شبکه محلی شما هم‌پوشانی دارد و آن‌گاه جدول مسیریابی تصمیم می‌گیرد کدام یک از دو پیشوند یکسان برنده می‌شود.
آن را از بیرون ثابت کنید، سپس راه بازگشتی به داخل نگه دارید
از یک اتصال همراه آزمایش کنید، هرگز از داخل شبکه محلی، چون از داخل مسیری را آزمایش می‌کنید که اصلاً تونل در آن دخیل نیست. پیش از فعال کردن هر گزینه ثبت کنید که از کدام پورت استفاده می‌کند و همان پورت را به جعبه هدایت کنید.
فایل تولیدشده را جایی نگه دارید که بدون تونل به آن دسترسی دارید و در همین حال نام بیرونی جعبه را هم یادداشت کنید.
پیکربندی‌ای که هرگز از بیرون آزمایش نشده باشد یک طرح است، نه مسیر کاری دسترسی از راه دور. یک میزبان شبکه محلی را با آدرس آزمایش کنید نه با نام، تا خطای DNS با خطای مسیریابی اشتباه گرفته نشود.