FRITZ!Box VPN prisijungia, bet niekas neatsako: WireGuard ar IPSec
Prisijungęs FRITZ!Box tunelis, kuris nepasiekia LAN, yra adresavimo problema. Prieš importuodami iš naujo patikrinkite keturis IPSec laukus arba WireGuard peer.
Tunelis praneša, kad prisijungta, piktograma žalia, o namų LAN niekas neatsako. Tai dažniausias nusiskundimas dėl FRITZ!Box nuotolinės prieigos, ir beveik niekada kalta ne pati tunelis. Neteisinga adresų planas, potinklio tapatybė arba kliento maršrutų lentelė. Kurią iš jų galiausiai taisysite, priklauso nuo to, ar pasirinkote WireGuard, ar senesnį IPSec Fernzugang, tad pradėkite nuo to, ką iš tikrųjų sukonfigūravote.
Tunelis pakyla, o LAN tyli
Užmegztas tunelis įrodo, kad raktai ir galinis taškas teisingi. Tačiau tai neįrodo, kad klientas gavo adresą, į kurį dėžutė gali maršrutizuoti, nei kad klientas žino, kurie priešdėliai priklauso tuneliui. Tai dvi atskiros sėkmės, ir tik antroji leidžia pasiekti spausdintuvą.
Pirmiausia patikrinkite kliento adresą, paskui jo maršrutų lentelę.
Jei priskirtas adresas yra už LAN potinklio ribų, dėžutė neturi kur maršrutizuoti atgal. Jei jis yra DHCP diapazono viduje, dėžutė gali duoti tą patį adresą vietiniam įrenginiui. Abiem atvejais gaunamas tunelis, kuris prisijungia, ir LAN, kuri jūsų nepaiso.
Ką iš tikrųjų sukonfigūruoja kiekviena parinktis
Parinktis IPSec sukuria vieno naudotojo konfigūracijos failą, kuriame yra iš anksto bendrinamas raktas ir adresavimas. Jį importuojate į klientą, kuris kalba ta pačia profiliu, o Windows tai paprastai reiškia gamintojo įrankį, o ne įmontuotą klientą. Parinktis WireGuard sukuria peer vienam įrenginiui: raktų porą, adresą tunelio viduje ir galinį tašką.
Šis skirtumas lemia jūsų priežiūros modelį. Kiekvienas WireGuard įrenginys yra atskiras peer su savo raktu, todėl pamesto telefono atšaukimas reiškia vieno peer ištrynimą, o kiti toliau veikia. IPSec atšaukia pakeisdamas bendrą paslaptį arba naudotojo konfigūraciją, o tai grubiau ir paveikia kiekvieną jį naudojantį įrenginį.
Nė viena parinktis nėra pasenusi. IPSec kelias išlieka palaikomas ten, kur tolimasis galas negali paleisti WireGuard.
IPSec laukai, kurie sukuria negyvą tunelį
Keturi dydžiai turi atitikti jūsų LAN, ir trys iš jų nepavyksta taip, kad atrodo kaip sugedęs tunelis.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Būtent tinklo adresas ir pagauna žmones. Potinklis identifikuojamas pagal pirmąjį adresą, kuris paprastai baigiasi nuliu, o įvedus ten mazgo adresą gaunama konfigūracija, kuri atrodo visiškai įtikinamai ir niekada neprisijungia. DHCP diapazonas svarbus dėl kitos priežasties: tunelio klientams paprastai skiriama virš jo, tad visas potinklis sunaudojantis diapazonas nepalieka nieko paskirstyti.
Persidengiantys potinkliai yra kitas klasikinis atvejis. Jei nuotolinis LAN, prie kurio jungiatės, naudoja tą patį priešdėlį kaip LAN, ant kurio sėdite, maršrutizavimas negali jų atskirti, ir vienos pusės pernumeravimas yra vienintelis tikras sprendimas. Joks kliento konfigūracijos kiekis to neišsprendžia.
Kodėl WireGuard nepavyksta kitaip
WireGuard neturi iš anksto bendrinamo rakto, kurį būtų galima neteisingai įvesti, todėl jo gedimai telkiasi aplink peer apibrėžimą. Leidžiamų IP sąrašas, kuriame nėra LAN priešdėlio, sukuria tunelį, kuris nieko neperduoda, nes klientas niekada nesiunčia į jį srauto, skirto LAN. Pasenęs viešasis raktas bet kurioje pusėje sukuria rankos paspaudimą, kuris niekada nebaigiamas. Trūkstamas galinis taškas arba neteisingas prievadas sukuria tylą, o ne klaidą.
Palyginkite abi puses lauką po lauko, o ne importuokite failą iš naujo ir tikėkitės.
Vienintelis bendras gedimas yra potinklių susidūrimas. WireGuard mielai nuties tunelį į tinklą, kuris persidengia su jūsų vietiniu, o tada maršrutų lentelė nusprendžia, kuris iš dviejų identiškų priešdėlių laimi.
Įrodykite tai iš išorės, o tada pasilikite kelią atgal
Bandykite iš mobiliojo ryšio, niekada iš LAN vidaus, nes iš vidaus bandote kelią, kuriame tunelio apskritai nėra. Užsirašykite, kurį prievadą naudoja kiekviena parinktis, prieš ją įjungdami, ir peradresuokite tą prievadą į dėžutę.
Sugeneruotą failą laikykite ten, kur pasiekiate be tunelio, ir tuo pačiu užsirašykite išorinį dėžutės pavadinimą.
Konfigūracija, kuri niekada nebandyta iš išorės, yra planas, o ne veikiantis nuotolinės prieigos kelias. Vieną LAN mazgą bandykite pagal adresą, o ne pagal pavadinimą, kad DNS gedimas nebūtų supainiotas su maršrutizavimo gedimu.