FRITZ!Box का VPN जुड़ता है पर कोई जवाब नहीं देता: WireGuard या IPSec
जुड़ा हुआ FRITZ!Box टनल अगर LAN तक नहीं पहुँचता तो यह पता-परिचय की समस्या है। दोबारा आयात करने से पहले चारों IPSec फ़ील्ड या WireGuard पीयर जाँचें।
टनल बताता है कि कनेक्शन है, आइकन हरा है, और घर के LAN पर कुछ भी जवाब नहीं देता। यह FRITZ!Box रिमोट एक्सेस की सबसे आम शिकायत है, और लगभग कभी टनल खुद दोषी नहीं होता। पता योजना, सबनेट की पहचान या क्लाइंट की रूट तालिका गलत है। इनमें से किसे आप अंत में डीबग करेंगे, यह इस पर निर्भर है कि आपने WireGuard चुना या पुराना IPSec Fernzugang, इसलिए शुरुआत यह जानकर करें कि आपने असल में क्या सेट किया है।
टनल ऊपर आता है और LAN चुप रहता है
जो टनल बनता है वह साबित करता है कि कुंजियाँ और एंडपॉइंट सही हैं। यह साबित नहीं करता कि क्लाइंट को ऐसा पता मिला है जहाँ बॉक्स रूट कर सके, या कि क्लाइंट जानता है कि कौन-से प्रीफ़िक्स टनल के हैं। ये दो अलग सफलताएँ हैं, और सिर्फ़ दूसरी ही आपको प्रिंटर तक पहुँचने देती है।
पहले क्लाइंट का पता जाँचें, फिर उसकी रूट तालिका।
अगर दिया गया पता LAN सबनेट के बाहर है, तो बॉक्स के पास वापस रूट करने के लिए कुछ नहीं है। अगर वह DHCP रेंज के अंदर है, तो बॉक्स वही पता किसी स्थानीय डिवाइस को दे सकता है। दोनों ही ऐसी टनल बनाते हैं जो जुड़ती है और ऐसा LAN जो आपको नज़रअंदाज़ करता है।
हर विकल्प असल में क्या सेट करता है
IPSec विकल्प एक उपयोगकर्ता के लिए कॉन्फ़िगरेशन फ़ाइल बनाता है, जिसमें पहले से साझा कुंजी और पता-परिचय होता है। आप उसे ऐसे क्लाइंट में आयात करते हैं जो वही प्रोफ़ाइल समझता है, जिसका Windows पर मतलब आम तौर पर निर्माता का टूल होता है, अंतर्निहित क्लाइंट नहीं। WireGuard विकल्प एक डिवाइस के लिए पीयर बनाता है: कुंजी जोड़ी, टनल के अंदर पता और एंडपॉइंट।
यही अंतर आपका रखरखाव मॉडल तय करता है। हर WireGuard डिवाइस अपनी कुंजी वाला अलग पीयर है, इसलिए खोए फ़ोन को रद्द करने का मतलब एक पीयर हटाना है जबकि बाकी काम करते रहते हैं। IPSec साझा रहस्य या उपयोगकर्ता की कॉन्फ़िगरेशन बदलकर रद्द करता है, जो मोटा तरीका है और हर उस डिवाइस पर असर डालता है जो उसे इस्तेमाल करता है।
कोई भी विकल्प अप्रचलित नहीं है। जहाँ दूर का सिरा WireGuard नहीं चला सकता, वहाँ IPSec रास्ता समर्थित रहता है।
वे IPSec फ़ील्ड जो मृत टनल बनाते हैं
चार मान आपके LAN से मेल खाने चाहिए, और उनमें से तीन ऐसे विफल होते हैं जो टूटी टनल जैसा दिखता है।
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
नेटवर्क पता ही वह है जो लोगों को फँसाता है। सबनेट अपने पहले पते से पहचाना जाता है, जो आम तौर पर शून्य पर खत्म होता है, और वहाँ होस्ट पता डालने से ऐसा कॉन्फ़िगरेशन बनता है जो पूरी तरह विश्वसनीय दिखता है और कभी जुड़ता नहीं। DHCP रेंज दूसरे कारण से मायने रखती है: टनल क्लाइंट आम तौर पर उसके ऊपर आवंटित होते हैं, इसलिए पूरा सबनेट खा जाने वाली रेंज बाँटने के लिए कुछ नहीं छोड़ती।
ओवरलैप करते सबनेट दूसरा क्लासिक मामला हैं। अगर जिस दूर के LAN में आप जुड़ रहे हैं वह उसी प्रीफ़िक्स का इस्तेमाल करता है जो आपके LAN का है, तो रूटिंग दोनों में फ़र्क नहीं कर सकती, और एक तरफ को नए नंबर देना ही एकमात्र असली हल है। क्लाइंट कॉन्फ़िगरेशन की कोई भी मात्रा इसे हल नहीं करती।
WireGuard अलग तरह से क्यों विफल होता है
WireGuard में गलत टाइप करने लायक पहले से साझा कुंजी नहीं होती, इसलिए उसकी विफलताएँ पीयर की परिभाषा के आसपास जमा होती हैं। अनुमत IP की वह सूची जो LAN प्रीफ़िक्स छोड़ देती है, ऐसी टनल बनाती है जो कुछ नहीं ढोती, क्योंकि क्लाइंट कभी LAN की ओर जाता ट्रैफ़िक उसमें नहीं भेजता। किसी भी तरफ की पुरानी सार्वजनिक कुंजी ऐसा हैंडशेक बनाती है जो कभी पूरा नहीं होता। एंडपॉइंट न होना या गलत पोर्ट त्रुटि नहीं, खामोशी पैदा करता है।
फ़ाइल दोबारा आयात करके उम्मीद करने के बजाय दोनों तरफ़ को फ़ील्ड दर फ़ील्ड तुलना करें।
एकमात्र साझा विफलता सबनेट टकराव है। WireGuard खुशी से ऐसे नेटवर्क तक टनल बना देगा जो आपके स्थानीय नेटवर्क से ओवरलैप करता है, और फिर रूट तालिका तय करती है कि दो समान प्रीफ़िक्स में से कौन जीतेगा।
इसे बाहर से साबित करें, फिर अंदर लौटने का रास्ता रखें
मोबाइल कनेक्शन से जाँचें, कभी LAN के अंदर से नहीं, क्योंकि अंदर से आप ऐसा रास्ता जाँच रहे हैं जिसमें टनल का कोई ज़िक्र ही नहीं है। हर विकल्प कौन-सा पोर्ट इस्तेमाल करता है यह चालू करने से पहले लिख लें, और उस पोर्ट को बॉक्स की ओर अग्रेषित करें।
बनी हुई फ़ाइल को ऐसी जगह रखें जहाँ टनल के बिना पहुँच सकें, और साथ ही बॉक्स का बाहरी नाम भी नोट कर लें।
जिस कॉन्फ़िगरेशन को कभी बाहर से जाँचा नहीं गया वह योजना है, काम करने वाला रिमोट एक्सेस रास्ता नहीं। एक LAN होस्ट को नाम से नहीं, पते से जाँचें, ताकि DNS विफलता को रूटिंग विफलता न समझा जाए।