VPN FRITZ!Box tersambung tetapi tidak ada yang menjawab: WireGuard atau IPSec
Tunnel FRITZ!Box yang tersambung tetapi tidak menjangkau LAN adalah masalah pengalamatan. Periksa keempat kolom IPSec atau peer WireGuard sebelum mengimpor ulang.
Tunnel melaporkan tersambung, ikonnya hijau, dan tidak ada apa pun di LAN rumah yang menjawab. Itu keluhan paling umum soal akses jarak jauh FRITZ!Box, dan hampir tidak pernah tunnel itu sendiri yang salah. Rencana alamat, identitas subnet, atau tabel rute klien yang keliru. Mana di antaranya yang akhirnya Anda telusuri bergantung pada apakah Anda memilih WireGuard atau IPSec Fernzugang yang lebih tua, jadi mulailah dengan mengetahui mana yang benar-benar Anda konfigurasi.
Tunnel naik dan LAN tetap diam
Tunnel yang terbentuk membuktikan kunci dan endpoint sudah benar. Itu tidak membuktikan bahwa klien mendapat alamat yang bisa dirutekan oleh kotak, atau bahwa klien tahu prefix mana yang termasuk dalam tunnel. Keduanya dua keberhasilan terpisah, dan hanya yang kedua yang membuat Anda bisa mencapai printer.
Periksa dulu alamat klien, lalu tabel rutenya.
Jika alamat yang diberikan berada di luar subnet LAN, kotak tidak punya tujuan untuk dirutekan balik. Jika berada di dalam rentang DHCP, kotak bisa memberikan alamat yang sama ke perangkat lokal. Keduanya menghasilkan tunnel yang tersambung dan LAN yang mengabaikan Anda.
Apa yang sebenarnya dikonfigurasi tiap opsi
Opsi IPSec menghasilkan berkas konfigurasi untuk satu pengguna, berisi kunci yang dibagikan sebelumnya dan pengalamatan. Anda mengimpornya ke klien yang berbicara profil yang sama, yang di Windows biasanya berarti alat vendor dan bukan klien bawaan. Opsi WireGuard menghasilkan peer untuk satu perangkat: pasangan kunci, alamat di dalam tunnel, dan endpoint.
Perbedaan itu menentukan model pemeliharaan Anda. Setiap perangkat WireGuard adalah peer terpisah dengan kuncinya sendiri, jadi mencabut ponsel yang hilang berarti menghapus satu peer sementara yang lain tetap berjalan. IPSec mencabut dengan mengubah rahasia bersama atau konfigurasi pengguna, yang lebih kasar dan memengaruhi setiap perangkat yang memakainya.
Tidak ada opsi yang usang. Jalur IPSec tetap yang didukung di mana pun ujung jauh tidak dapat menjalankan WireGuard.
Kolom IPSec yang menghasilkan tunnel mati
Empat nilai harus cocok dengan LAN Anda, dan tiga di antaranya gagal dengan cara yang tampak seperti tunnel rusak.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Alamat jaringan itulah yang menjebak orang. Subnet dikenali dari alamat pertamanya, yang biasanya berakhir dengan nol, dan memasukkan alamat host di sana menghasilkan konfigurasi yang tampak sangat masuk akal dan tidak pernah tersambung. Rentang DHCP penting karena alasan lain: klien tunnel biasanya diberi alamat di atasnya, jadi rentang yang menghabiskan seluruh subnet tidak menyisakan apa pun untuk dibagikan.
Subnet yang tumpang tindih adalah kasus klasik lainnya. Jika LAN jauh yang Anda masuki memakai prefix yang sama dengan LAN tempat Anda duduk, perutean tidak dapat membedakan keduanya, dan menomori ulang salah satu sisi adalah satu-satunya perbaikan nyata. Tidak ada jumlah konfigurasi klien yang menyelesaikannya.
Mengapa WireGuard gagal dengan cara berbeda
WireGuard tidak punya kunci yang dibagikan sebelumnya untuk salah ketik, jadi kegagalannya mengelompok di sekitar definisi peer. Daftar IP yang diizinkan yang melewatkan prefix LAN menghasilkan tunnel yang tidak membawa apa pun, karena klien tidak pernah mengirim lalu lintas menuju LAN ke dalamnya. Kunci publik yang basi di salah satu sisi menghasilkan handshake yang tidak pernah selesai. Endpoint yang hilang atau port yang salah menghasilkan kesenyapan, bukan galat.
Bandingkan kedua sisi kolom demi kolom alih-alih mengimpor berkasnya lagi dan berharap.
Satu kegagalan yang sama adalah tabrakan subnet. WireGuard akan dengan senang hati membangun tunnel ke jaringan yang tumpang tindih dengan jaringan lokal Anda, lalu tabel rute memutuskan prefix identik mana yang menang.
Buktikan dari luar, lalu pertahankan jalan masuk kembali
Uji dari koneksi seluler, jangan pernah dari dalam LAN, karena dari dalam Anda menguji jalur yang sama sekali tidak melibatkan tunnel. Catat port mana yang dipakai tiap opsi sebelum Anda mengaktifkannya, dan teruskan port itu ke kotak.
Simpan berkas yang dihasilkan di tempat yang bisa Anda jangkau tanpa tunnel, dan sambil itu catat nama eksternal kotaknya.
Konfigurasi yang belum pernah diuji dari luar adalah rencana, bukan jalur akses jarak jauh yang berfungsi. Uji satu host LAN lewat alamat, bukan lewat nama, agar kegagalan DNS tidak disalahartikan sebagai kegagalan perutean.