FRITZ!Box VPN은 연결되지만 아무것도 응답하지 않습니다: WireGuard인가 IPSec인가
LAN에 도달하지 못하는 연결된 FRITZ!Box 터널은 주소 지정 문제입니다. 다시 가져오기 전에 IPSec의 네 필드나 WireGuard 피어를 확인하세요.
터널은 연결되었다고 보고하고 아이콘은 초록색인데, 집 LAN에서는 아무것도 응답하지 않습니다. 이것은 FRITZ!Box 원격 접속에 관한 가장 흔한 불만이며, 거의 항상 터널 자체가 원인이 아닙니다. 주소 계획, 서브넷 식별, 또는 클라이언트의 경로 테이블이 잘못된 것입니다. 그중 무엇을 결국 들여다볼지는 WireGuard를 골랐는지 아니면 더 오래된 IPSec Fernzugang을 골랐는지에 달려 있으니, 먼저 실제로 무엇을 설정했는지 아는 것부터 시작하세요.
터널은 올라오는데 LAN은 조용합니다
수립된 터널은 키와 엔드포인트가 올바르다는 것을 증명합니다. 하지만 다음을 증명하지는 않습니다. 클라이언트가 박스가 경로를 지정할 수 있는 주소를 받았다는 것, 또는 클라이언트가 어떤 프리픽스가 터널에 속하는지 안다는 것입니다. 이 둘은 별개의 성공이며, 프린터에 닿게 해 주는 것은 두 번째뿐입니다.
먼저 클라이언트의 주소를 확인하고, 그다음 경로 테이블을 보세요.
할당된 주소가 LAN 서브넷 밖에 있으면 박스가 되돌려 보낼 경로가 없습니다. DHCP 범위 안에 있으면 박스가 같은 주소를 로컬 장치에 줄 수 있습니다. 둘 다 연결은 되지만 LAN이 무시하는 터널을 만듭니다.
각 옵션이 실제로 설정하는 것
IPSec 옵션은 사용자 한 명을 위한 설정 파일을 만들며, 미리 공유한 키와 주소 지정을 담습니다. 같은 프로필을 쓰는 클라이언트로 가져오는데, Windows에서는 보통 제조사 도구를 뜻하고 내장 클라이언트가 아닙니다. WireGuard 옵션은 장치 하나를 위한 피어, 곧 키 쌍과 터널 안의 주소, 엔드포인트를 만듭니다.
그 차이가 유지 관리 모델을 결정합니다. 각 WireGuard 장치는 고유한 키를 가진 별도의 피어이므로, 분실한 휴대폰을 폐기한다는 것은 피어 하나를 지우는 일이고 나머지는 계속 작동합니다. IPSec은 공유 비밀 또는 사용자 설정을 바꿔 폐기하며, 이는 더 거칠고 그것을 쓰는 모든 장치에 영향을 줍니다.
어느 옵션도 구식이 아닙니다. 먼 쪽에서 WireGuard를 돌릴 수 없는 곳에서는 IPSec 경로가 여전히 지원됩니다.
죽은 터널을 만드는 IPSec 필드
네 값이 LAN과 일치해야 하며, 그중 셋은 고장 난 터널처럼 보이는 방식으로 실패합니다.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
사람을 잡는 것은 네트워크 주소인데, 서브넷은 첫 주소로 식별되며 그 주소는 보통 영으로 끝나므로 거기에 호스트 주소를 넣으면 아주 그럴듯해 보이면서 결코 연결되지 않는 설정이 만들어집니다. DHCP 범위가 중요한 이유는 다릅니다. 터널 클라이언트는 보통 그 위쪽에서 할당되므로, 서브넷 전체를 먹는 범위는 나눠 줄 것을 남기지 않습니다.
겹치는 서브넷도 고전적인 경우입니다. 가입하려는 원격 LAN이 앉아 있는 LAN과 같은 프리픽스를 쓴다면 경로 지정이 둘을 구별할 수 없고, 한쪽의 번호를 다시 매기는 것이 유일한 실제 해결책입니다. 클라이언트 설정을 아무리 많이 해도 해결되지 않습니다.
WireGuard가 다르게 실패하는 이유
WireGuard에는 잘못 입력할 미리 공유한 키가 없으므로, 실패는 피어 정의 주변에 모입니다. LAN 프리픽스를 빠뜨린 허용 IP 목록은 클라이언트가 LAN으로 가는 트래픽을 그 안으로 보내지 않기 때문에 아무것도 나르지 않는 터널을 만듭니다. 어느 쪽이든 오래된 공개 키는 결코 끝나지 않는 핸드셰이크를 만듭니다. 엔드포인트가 없거나 포트가 틀리면 오류가 아니라 침묵이 생깁니다.
파일을 다시 가져와 기대하는 대신 양쪽을 필드별로 비교하세요.
유일하게 공통된 실패는 서브넷 충돌입니다. WireGuard는 로컬 네트워크와 겹치는 네트워크로 기꺼이 터널을 만들고, 그다음 경로 테이블이 두 개의 동일한 프리픽스 중 어느 쪽이 이길지 결정합니다.
바깥에서 증명하고, 그다음 돌아올 길을 남겨 두세요
모바일 연결에서 시험하고, 터널이 전혀 관여하지 않는 경로를 시험하게 되는 LAN 안쪽에서는 절대 하지 마세요. 각 옵션이 어떤 포트를 쓰는지 켜기 전에 적어 두고, 그 포트를 박스로 전달하세요.
생성된 파일은 터널 없이 닿을 수 있는 곳에 두고, 그러는 김에 박스의 외부 이름도 적어 두세요.
바깥에서 한 번도 시험하지 않은 설정은 계획일 뿐이며 작동하는 원격 접속 경로가 아닙니다. LAN 호스트 하나를, DNS 실패가 경로 지정 실패로 오해되지 않도록, 이름이 아니라 주소로 시험하세요.