A FRITZ!Box VPN csatlakozik, de semmi sem válaszol: WireGuard vagy IPSec
Az olyan csatlakozott FRITZ!Box-alagút, amely nem éri el a LAN-t, címzési probléma. Ellenőrizze a négy IPSec-mezőt vagy a WireGuard-peert az újraimportálás előtt.
Az alagút azt jelzi, hogy csatlakozva van, az ikon zöld, és az otthoni LAN-on semmi sem válaszol. Ez a FRITZ!Box távoli elérésével kapcsolatos leggyakoribb panasz, és szinte soha nem maga az alagút a hibás. A címtérkép, az alhálózat identitása vagy az ügyfél útválasztási táblázata rossz. Hogy melyiket fogja végül hibakeresni, attól függ, a WireGuardot vagy a régebbi IPSec Fernzugangot választotta-e, ezért kezdje azzal, hogy tudja, melyiket állította be valójában.
Az alagút feljön, a LAN pedig csendben marad
A létrejövő alagút bizonyítja, hogy a kulcsok és a végpont helyesek. Azt viszont nem bizonyítja, hogy az ügyfél kapott olyan címet, amelyre a doboz tud útválasztani, sem azt, hogy az ügyfél tudja, mely előtagok tartoznak az alagúthoz. Ez két külön siker, és csak a második teszi lehetővé, hogy elérjen egy nyomtatót.
Először az ügyfél címét ellenőrizze, aztán az útválasztási táblázatát.
Ha a kiosztott cím a LAN-alhálózaton kívül esik, a doboznak nincs hová visszairányítania. Ha a DHCP-tartományon belül van, a doboz ugyanazt a címet adhatja egy helyi eszköznek. Mindkettő olyan alagutat eredményez, amely csatlakozik, és olyan LAN-t, amely figyelmen kívül hagyja önt.
Mit állít be valójában az egyes lehetőségek
Az IPSec lehetőség egy felhasználónak készít konfigurációs fájlt, benne az előre megosztott kulccsal és a címzéssel. Olyan ügyfélbe importálja, amely ugyanazt a profilt beszéli, ami Windowson általában a gyártó eszközét jelenti, nem a beépített ügyfelet. A WireGuard lehetőség egy eszközhöz készít peert: kulcspárt, az alagúton belüli címet és egy végpontot.
Ez a különbség határozza meg a karbantartási modelljét. Minden WireGuard-eszköz külön peer a saját kulcsával, így egy elveszett telefon visszavonása egy peer törlését jelenti, miközben a többi tovább működik. Az IPSec a közös titok vagy a felhasználói konfiguráció módosításával von vissza, ami durvább, és minden eszközt érint, amely használja.
Egyik lehetőség sem elavult. Az IPSec-útvonal marad a támogatott ott, ahol a távoli fél nem tud WireGuardot futtatni.
Azok az IPSec-mezők, amelyek halott alagutat hoznak létre
Négy értéknek egyeznie kell a LAN-jával, és ezek közül három olyan módon hibázik, ami törött alagútnak látszik.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
A hálózati cím az, amely megfogja az embereket. Az alhálózatot az első címe azonosítja, amely általában nullára végződik, és egy hosztcím beírása oda olyan konfigurációt ad, amely teljesen hihetőnek tűnik, és soha nem csatlakozik. A DHCP-tartomány más okból számít: az alagút ügyfelei általában fölötte kapnak címet, így a teljes alhálózatot felemésztő tartomány nem hagy semmit kiosztásra.
Az átfedő alhálózatok a másik klasszikus eset. Ha a távoli LAN, amelyhez csatlakozik, ugyanazt az előtagot használja, mint a LAN, amelyen ül, az útválasztás nem tudja megkülönböztetni őket, és az egyik oldal újraszámozása az egyetlen valódi megoldás. Semmilyen mennyiségű ügyfélkonfiguráció nem oldja meg.
Miért hibázik másképp a WireGuard
A WireGuardnak nincs előre megosztott kulcsa, amit el lehetne gépelni, ezért a hibái a peer definíciója köré csoportosulnak. Az engedélyezett IP-k listája, amely kihagyja a LAN-előtagot, olyan alagutat ad, amely semmit sem szállít, mert az ügyfél soha nem küld bele LAN felé irányuló forgalmat. Egy elavult nyilvános kulcs bármelyik oldalon olyan kézfogást ad, amely soha nem fejeződik be. Egy hiányzó végpont vagy rossz port csendet ad hiba helyett.
Hasonlítsa össze a két oldalt mezőről mezőre, ahelyett hogy újraimportálná a fájlt és reménykedne.
Az egyetlen közös hiba az alhálózat-ütközés. A WireGuard szívesen épít alagutat egy olyan hálózathoz, amely átfed a helyi hálózatával, és akkor az útválasztási táblázat dönti el, hogy a két azonos előtag közül melyik nyer.
Bizonyítsa kívülről, majd tartson fenn egy visszautat
Mobilkapcsolatról teszteljen, soha nem a LAN belsejéből, mert belülről olyan útvonalat tesztel, amelyben az alagút egyáltalán nem szerepel. Jegyezze fel, melyik portot használja az egyes lehetőség, mielőtt engedélyezi, és továbbítsa azt a portot a dobozra.
Tartsa a létrehozott fájlt olyan helyen, ahová az alagút nélkül is eljut, és közben jegyezze fel a doboz külső nevét.
Az a konfiguráció, amelyet soha nem teszteltek kívülről, terv, nem működő távoli elérési útvonal. Egy LAN-hosztot cím alapján teszteljen, ne név alapján, hogy a DNS-hiba ne legyen összetévesztve útválasztási hibával.