FRITZ!Box-VPN ferbynt mar nimmen antwurdet: WireGuard of IPSec
In ferbûn FRITZ!Box-tunnel dy’t it LAN net berikt, is in adressearringsprobleem. Kontrolearje de fjouwer IPSec-fjilden of de WireGuard-peer foardat jo opnij ymportearje.
De tunnel meldt ferbûn, it byldsje is grien, en nimmen op it thús-LAN antwurdet. Dat is de meast foarkommende klacht oer FRITZ!Box-fierôf tagong, en it is hast nea de tunnel sels. It adresplan, de identiteit fan it subnet of de rûtetabel fan de klant is ferkeard. Hokker fan dy jo yn ’t lêstoan debugge, hinget derfan ôf oft jo WireGuard of de âldere IPSec Fernzugang keazen hawwe, dus begjin mei te witten hokker jo eins konfigurearre hawwe.
De tunnel komt omheech en it LAN bliuwt stil
In tunnel dy’t ta stân komt, bewiist dat de kaaien en it einpunt goed binne. It bewiist net dat de klant in adres krigen hat dêr’t de doaze nei rûte kin, of dat de klant wit hokker foarheaksels by de tunnel hearre. Dat binne twa aparte súksessen, en allinnich de twadde lit jo in printer berikke.
Kontrolearje earst it adres fan de klant, dan syn rûtetabel.
As it tawiisde adres bûten it LAN-subnet leit, hat de doaze neat om nei werom te rûten. As it binnen it DHCP-berik leit, kin de doaze itselde adres oan in lokaal apparaat jaan. Beide leverje in tunnel dy’t ferbynt en in LAN dy’t jo negearret.
Wat elke opsje eins konfigurearret
De IPSec-opsje generearret in konfiguraasjebestân foar ien brûker, mei de foarôf dielde kaai en de adressearring. Jo ymportearje it yn in klant dy’t itselde profyl praat, wat op Windows meast de tool fan de fabrikant betsjut en net de ynboude klant. De WireGuard-opsje generearret in peer foar ien apparaat: in kaaipear, in adres yn ’e tunnel en in einpunt.
Dat ferskil bepaalt jo ûnderhâldsmodel. Elk WireGuard-apparaat is in aparte peer mei syn eigen kaai, dus in ferlern telefoan ynlûke betsjut ien peer wiskje wylst de oaren trochwurkje. IPSec lûkt yn troch it dielde geheim of de konfiguraasje fan de brûker te feroarjen, wat grûver is en elk apparaat rekket dat it brûkt.
Gjin fan beide opsjes is ferâldere. It IPSec-paad bliuwt it stipe paad oeral dêr’t de fiere kant WireGuard net draaie kin.
De IPSec-fjilden dy’t in deade tunnel opleverje
Fjouwer wearden moatte mei jo LAN oerienkomme, en trije dêrfan mislearje op in manier dy’t op in stikken tunnel liket.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
It netwurkadres is dejinge dy’t minsken fangt. In subnet wurdt identifisearre troch syn earste adres, dat normaal op nul einiget, en in hostadres dêr ynfiere jout in konfiguraasje dy’t folslein leaudber liket en nea ferbynt. It DHCP-berik is om in oare reden fan belang: tunnelklanten wurde meast boppe it berik tawiisd, dus in berik dat it hiele subnet opbrûkt lit neat oer om út te partsjen.
Oerlaapjende subnets binne it oare klassike gefal. As it fiere LAN dêr’t jo by oanslute itselde foarheaksel brûkt as it LAN dêr’t jo op sitte, kin rûtering de twa net ûnderskiede, en it ien fan ’e kanten opnij nûmerje is de iennichste echte oplossing. Gjin inkelde klantkonfiguraasje lost dat op.
Wêrom WireGuard oars mislearret
WireGuard hat gjin foarôf dielde kaai om ferkeard te typen, dus syn flaters sammelje har ynstee om ’e peer-definysje. In list mei tastiene IP’s dy’t it LAN-foarheaksel weilitten, jout in tunnel dy’t neat draacht, om’t de klant nea LAN-rjochte ferkear der yn stjoert. In ferâldere iepenbiere kaai oan ien fan ’e kanten jout in hânsdruk dy’t nea foltôge wurdt. In ûntbrekkend einpunt of in ferkearde poarte jout stilte ynstee fan in flater.
Fergelykje beide kanten fjild foar fjild ynstee fan it bestân opnij te ymportearjen en te hoopjen.
De iennichste mienskiplike flater is de subnetbotsing. WireGuard bout graach in tunnel nei in netwurk dat jo lokale oerlaapet, en dan beslút de rûtetabel hokker fan ’e twa identike foarheaksels wint.
Bewiisje it fan bûten, en hâld dan in wei werom nei binnen
Test fan in mobile ferbining, nea fan binnen it LAN, want fan binnen test je in paad dêr’t de tunnel hielendal net yn belutsen is. Skriuw op hokker poarte elke opsje brûkt foardat jo it ynskeakelje, en trochstjoer dy poarte nei de doaze.
Bewarje it generearre bestân earne dêr’t jo sûnder de tunnel komme kinne, en notearje tagelyk de eksterne namme fan de doaze.
In konfiguraasje dy’t nea fan bûten test is, is in plan en gjin wurkjend paad foar fierôf tagong. Test ien LAN-host op adres ynstee fan op namme, sadat in DNS-flater net foar in rûtearingsflater oansjoen wurdt.