FRITZ!Box VPN verbënnt, awer näischt äntwert: WireGuard oder IPSec
En verbonnene FRITZ!Box-Tunnel, deen net an d’LAN kënnt, ass e Adresséierungsproblem. Kontrolléiert déi véier IPSec-Felder oder de WireGuard-Peer, éier Dir erëm importéiert.
Den Tunnel mellt verbonnen, d’Ikon ass gréng, an näischt am Heem-LAN äntwert. Dat ass déi heefegst Beschwéier iwwer den Fernzougrëff vun der FRITZ!Box, an et ass bal ni den Tunnel selwer. Den Adressplang, d’Identitéit vum Subnet oder d’Routtabell vum Client ass falsch. Wat dovun Dir um Enn debuggert, hänkt dovun of, ob Dir WireGuard oder den eelere IPSec Fernzugang gewielt hutt, also fänkt domat un ze wëssen, wat Dir tatsächlech konfiguréiert hutt.
Den Tunnel kënnt erop an d’LAN bleift roueg
En Tunnel, deen zustan kënnt, beweist datt d’Schlësselen an den Endpunkt richteg sinn. Et beweist awer net, datt de Client eng Adress kritt huet, op déi d’Këscht route kann, oder datt de Client weess, wéi eng Prefixen zum Tunnel gehéieren. Dat sinn zwee getrennte Succèsen, an nëmmen den zweete léisst Iech en Drécker erreechen.
Kontrolléiert fir d’éischt d’Adress vum Client, duerno seng Routtabell.
Wann déi zougewisen Adress baussent dem LAN-Subnet läit, huet d’Këscht näischt, wouhin se zréckroute kann. Wann se bannent dem DHCP-Beräich läit, kann d’Këscht déi selwecht Adress engem lokalen Apparat ginn. Béides gëtt en Tunnel, dee verbënnt, an eng LAN, déi Iech ignoréiert.
Wat all Optioun tatsächlech konfiguréiert
D’Optioun IPSec generéiert eng Konfiguratiounsdatei fir ee Benotzer, mat dem virdeels gedeelte Schlëssel an der Adresséierung. Dir importéiert se an e Client, dee selwechte Profil schwätzt, wat ënner Windows meeschtens d’Werkzeug vum Hiersteller bedeit an net de agebaute Client. D’Optioun WireGuard generéiert e Peer fir een Apparat: e Schlësselpaar, eng Adress am Tunnel an en Endpunkt.
Dee Ënnerscheed entscheet iwwer Äert Ënnerhaltsmodell. All WireGuard-Apparat ass en eegene Peer mat sengem eegene Schlëssel, dofir heescht eng verlueren Telefon ze widerrufen ee Peer ze läschen, während déi aner weider schaffen. IPSec widerrufft iwwer eng Ännerung vum gedeelte Geheimnis oder vun der Benotzerkonfiguratioun, wat méi graff ass an all Apparat betrëfft, deen se benotzt.
Keng vun den Optiounen ass veralt. Den IPSec-Wee bleift dee ënnerstëtzten, wou déi wäit Säit WireGuard net ka lafen.
Déi IPSec-Felder, déi en douden Tunnel erzeugen
Véier Wäerter mussen zu Ärer LAN passen, an dräi dovu schéissen op eng Manéier feel, déi wéi en ënnerbroken Tunnel ausgesäit.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
D’Netzwierkadress ass déi, déi d’Leit fänkt. E Subnet gëtt duerch seng éischt Adress identifizéiert, déi normalerweis mat Null ophält, an eng Hostadress do anzeginn erzeugt eng Konfiguratioun, déi komplett plausibel ausgesäit an ni verbënnt. Den DHCP-Beräich ass aus engem anere Grond wichteg: d’Clientë vum Tunnel ginn typesch driwwer zougewisen, dofir léisst e Beräich, deen de ganzen Subnet verbraucht, näischt ze verdeelen.
Iwwerlappend Subneten sinn deen aneren typesche Fall. Wann déi wäit LAN, där Dir bäitriedt, dee selwechte Prefix benotzt wéi d’LAN, op där Dir sëtzt, kann d’Routing se net ënnerscheeden, an nëmmen eng Säit nei ze nummeréieren ass déi eenzeg richteg Léisung. Keng Quantitéit u Clientkonfiguratioun léist dat.
Firwat WireGuard anescht feelt
WireGuard huet kee virdeels gedeelte Schlëssel, deen ee falsch tippe kann, dofir gruppéiere sech seng Feeler ëm d’Definitioun vum Peer. Eng Lëscht vun erlaabten IPen, déi de LAN-Prefix ausléisst, gëtt en Tunnel, deen näischt dréit, well de Client ni Verkéier a Richtung LAN eran schéckt. En veraltete ëffentleche Schlëssel op enger vun de Säiten ergëtt en Handshake, deen ni fäerdeg gëtt. En Endpunkt dee fehlt oder e falsche Port ergëtt Stëllt statt engem Feeler.
Vergläicht déi zwou Säiten Feld fir Feld, amplaz d’Datei erëm z’importéieren an ze hoffen.
Deen eenzegen gemeinsame Feeler ass d’Kollisioun vun de Subneten. WireGuard baut gär en Tunnel zu engem Netz, dat sech mat Ärem lokalen iwwerlappt, an dann entscheet d’Routtabell, wéi ee vun den zwéin identesche Prefixen gewënnt.
Beweist et vun dobaussen, a behält dann e Wee zréck eran
Test aus enger Mobilverbindung, ni vun bannen aus der LAN, well Dir vun bannen e Wee test, deen den Tunnel guer net betrëfft. Schreift op, wéi ee Port all Optioun benotzt, éier Dir se aktivéiert, a leet dee Port op d’Këscht ëm.
Hält d’generéiert Datei do, wou Dir ouni den Tunnel hikënnt, a notéiert dobäi den externen Numm vun der Këscht.
Eng Konfiguratioun, déi ni vun dobaussen getest gouf, ass e Plang a keen funktionéierende Fernzougrëffswee. Testt een LAN-Host iwwer d’Adress amplaz iwwer den Numm, sou datt en DNS-Feeler net fir e Routingfeeler gehale gëtt.