FRITZ!Boxin VPN yhdistyy mutta mikään ei vastaa: WireGuard vai IPSec
Yhdistetty FRITZ!Box-tunneli, joka ei tavoita lähiverkkoa, on osoiteongelma. Tarkista neljä IPSec-kenttää tai WireGuard-vertaislaite ennen uutta tuontia.
Tunneli ilmoittaa olevansa yhdistetty, kuvake on vihreä, eikä mikään kotiverkossa vastaa. Se on FRITZ!Boxin etäkäytön yleisin valitus, eikä vika lähes koskaan ole itse tunnelissa. Osoitesuunnitelma, aliverkon identiteetti tai asiakkaan reititystaulu on väärä. Sitä, mitä niistä lopulta selvität, määrää se, valitsitko WireGuardin vai vanhemman IPSec Fernzugangin, joten aloita tietämällä, minkä todella määritit.
Tunneli nousee ja lähiverkko pysyy hiljaisena
Tunneli, joka muodostuu, todistaa, että avaimet ja päätepiste ovat oikein. Se ei todista, että asiakas sai osoitteen, johon laite osaa reitittää, eikä sitä, että asiakas tietää, mitkä etuliitteet kuuluvat tunneliin. Ne ovat kaksi erillistä onnistumista, ja vain jälkimmäinen päästää sinut tulostimelle.
Tarkista ensin asiakkaan osoite ja sitten sen reititystaulu.
Jos jaettu osoite on lähiverkon aliverkon ulkopuolella, laitteella ei ole mitään, mihin reitittää takaisin. Jos se on DHCP-alueen sisällä, laite voi antaa saman osoitteen paikalliselle laitteelle. Molemmat tuottavat tunnelin, joka yhdistyy, ja lähiverkon, joka jättää sinut huomiotta.
Mitä kukin vaihtoehto oikeastaan määrittää
IPSec-vaihtoehto luo määritystiedoston yhdelle käyttäjälle, ja se sisältää ennalta jaetun avaimen ja osoitteet. Tuot sen asiakkaaseen, joka puhuu samaa profiilia, mikä Windowsissa tarkoittaa yleensä valmistajan työkalua eikä sisäänrakennettua asiakasta. WireGuard-vaihtoehto luo vertaislaitteen yhdelle laitteelle: avainparin, osoitteen tunnelin sisällä ja päätepisteen.
Tuo ero ratkaisee ylläpitomallisi. Jokainen WireGuard-laite on erillinen vertaislaite omalla avaimellaan, joten kadonneen puhelimen peruuttaminen tarkoittaa yhden vertaislaitteen poistamista muiden jatkaessa toimintaa. IPSec peruuttaa vaihtamalla jaetun salaisuuden tai käyttäjän määrityksen, mikä on karkeampaa ja vaikuttaa jokaiseen laitteeseen, joka sitä käyttää.
Kumpikaan vaihtoehto ei ole vanhentunut. IPSec-polku pysyy tuettuna siellä, missä vastapuoli ei voi ajaa WireGuardia.
IPSec-kentät, jotka tuottavat kuolleen tunnelin
Neljän arvon on sovittava lähiverkkoosi, ja kolme niistä epäonnistuu tavalla, joka näyttää rikkinäiseltä tunnelilta.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Verkko-osoite on se, joka ihmiset nappaa. Aliverkko tunnistetaan ensimmäisestä osoitteestaan, joka yleensä päättyy nollaan, ja isäntäosoitteen syöttäminen siihen tuottaa määrityksen, joka näyttää täysin uskottavalta eikä koskaan yhdisty. DHCP-alue on tärkeä toisesta syystä: tunnelin asiakkaat jaetaan yleensä sen yläpuolelta, joten koko aliverkon nielevä alue ei jätä mitään jaettavaa.
Päällekkäiset aliverkot ovat toinen klassinen tapaus. Jos etäverkko, johon liityt, käyttää samaa etuliitettä kuin verkko, jonka päällä istut, reititys ei pysty erottamaan niitä, ja toisen puolen uudelleennumerointi on ainoa todellinen korjaus. Mikään määrä asiakasmäärityksiä ei ratkaise sitä.
Miksi WireGuard epäonnistuu eri tavalla
WireGuardissa ei ole ennalta jaettua avainta, jonka voisi kirjoittaa väärin, joten sen viat keskittyvät vertaislaitteen määritelmään. Sallittujen IP-osoitteiden luettelo, josta lähiverkon etuliite puuttuu, tuottaa tunnelin, joka ei kuljeta mitään, koska asiakas ei koskaan lähetä lähiverkkoon suuntautuvaa liikennettä siihen. Vanhentunut julkinen avain kummalla tahansa puolella tuottaa kättelyn, joka ei koskaan valmistu. Puuttuva päätepiste tai väärä portti tuottaa hiljaisuutta virheen sijaan.
Vertaa molempia puolia kenttä kentältä sen sijaan, että toisit tiedoston uudelleen ja toivoisit.
Ainoa yhteinen vika on aliverkon törmäys. WireGuard rakentaa mielellään tunnelin verkkoon, joka menee päällekkäin paikallisen verkkosi kanssa, ja silloin reititystaulu päättää, kumpi kahdesta identtisestä etuliitteestä voittaa.
Todista se ulkopuolelta ja pidä sitten paluureitti auki
Testaa matkapuhelinliittymästä, älä koskaan lähiverkon sisältä, sillä sisältä testaat polkua, jossa tunnelia ei ole lainkaan mukana. Kirjaa, mitä porttia kukin vaihtoehto käyttää ennen sen ottamista käyttöön, ja välitä se portti laitteelle.
Säilytä luotu tiedosto paikassa, johon pääset ilman tunnelia, ja kirjaa samalla laitteen ulkoinen nimi.
Määritys, jota ei ole koskaan testattu ulkopuolelta, on suunnitelma eikä toimiva etäkäyttöpolku. Testaa yhtä lähiverkon isäntää osoitteella äläkä nimellä, jotta DNS-vika ei mene reititysvian piikkiin.