FRITZ!Box VPN pieslēdzas, bet nekas neatbild: WireGuard vai IPSec
Pieslēgts FRITZ!Box tunelis, kas neaizsniedz LAN, ir adresācijas problēma. Pirms atkārtotas importēšanas pārbaudiet četrus IPSec laukus vai WireGuard peer.
Tunelis ziņo, ka ir pieslēgts, ikona ir zaļa, un mājas LAN nekas neatbild. Tā ir visbiežākā sūdzība par FRITZ!Box attālināto piekļuvi, un gandrīz nekad vainīgs nav pats tunelis. Adrešu plāns, apakštīkla identitāte vai klienta maršrutu tabula ir nepareiza. Kuru no tiem jūs beigās labosiet, atkarīgs no tā, vai izvēlējāties WireGuard vai vecāko IPSec Fernzugang, tāpēc sāciet ar to, ka zināt, ko tiešām konfigurējāt.
Tunelis ceļas, un LAN paliek klusa
Izveidots tunelis pierāda, ka atslēgas un galapunkts ir pareizi. Tas nepierāda, ka klients saņēma adresi, uz kuru kaste var maršrutēt, ne arī to, ka klients zina, kuri prefiksi pieder tunelim. Tie ir divi atsevišķi panākumi, un tikai otrais ļauj jums aizsniegt printeri.
Vispirms pārbaudiet klienta adresi, pēc tam tā maršrutu tabulu.
Ja piešķirtā adrese atrodas ārpus LAN apakštīkla, kastei nav kur maršrutēt atpakaļ. Ja tā atrodas DHCP diapazona iekšpusē, kaste var dot to pašu adresi vietējai ierīcei. Abi gadījumi rada tuneli, kas pieslēdzas, un LAN, kas jūs ignorē.
Ko katra opcija patiešām konfigurē
Opcija IPSec ģenerē konfigurācijas failu vienam lietotājam, kurā ir iepriekš koplietotā atslēga un adresācija. Jūs to importējat klientā, kas runā to pašu profilu, un Windows tas parasti nozīmē ražotāja rīku, nevis iebūvēto klientu. Opcija WireGuard ģenerē peer vienai ierīcei: atslēgu pāri, adresi tuneļa iekšpusē un galapunktu.
Šī atšķirība nosaka jūsu uzturēšanas modeli. Katra WireGuard ierīce ir atsevišķs peer ar savu atslēgu, tāpēc pazaudēta tālruņa atsaukšana nozīmē viena peer dzēšanu, kamēr pārējie turpina darboties. IPSec atsauc, mainot koplietoto noslēpumu vai lietotāja konfigurāciju, kas ir rupjāk un skar katru ierīci, kas to izmanto.
Neviena no opcijām nav novecojusi. IPSec ceļš joprojām ir atbalstītais tur, kur tālais gals nevar palaist WireGuard.
IPSec lauki, kas rada mirušu tuneli
Četrām vērtībām jāsaskan ar jūsu LAN, un trīs no tām neizdodas tā, ka tas izskatās pēc salauzta tuneļa.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Tieši tīkla adrese ir tā, kas pieķer cilvēkus. Apakštīkls tiek identificēts pēc tā pirmās adreses, kas parasti beidzas ar nulli, un tur ievadot resursdatora adresi, tiek iegūta konfigurācija, kas izskatās pilnīgi ticami un nekad nepievienojas. DHCP diapazons ir svarīgs cita iemesla dēļ: tuneļa klientiem parasti piešķir virs tā, tāpēc diapazons, kas aprij visu apakštīklu, neatstāj neko sadalīšanai.
Pārklājošies apakštīkli ir otrs klasiskais gadījums. Ja attālais LAN, kuram pievienojaties, izmanto to pašu prefiksu kā LAN, uz kura sēžat, maršrutēšana tos nevar atšķirt, un vienas puses pārnumurēšana ir vienīgais īstais risinājums. Nekāds klienta konfigurācijas daudzums to neatrisina.
Kāpēc WireGuard neizdodas citādi
WireGuard nav iepriekš koplietotas atslēgas, ko varētu nepareizi ierakstīt, tāpēc tā kļūdas grupējas ap peer definīciju. Atļauto IP saraksts, kurā trūkst LAN prefiksa, rada tuneli, kas neko nenes, jo klients nekad nesūta tajā LAN virzītu satiksmi. Novecojusi publiskā atslēga jebkurā pusē rada rokasspiedienu, kas nekad nebeidzas. Trūkstošs galapunkts vai nepareizs ports rada klusumu, nevis kļūdu.
Salīdziniet abas puses lauku pa laukam, nevis importējiet failu vēlreiz un ceriet.
Vienīgā kopīgā kļūda ir apakštīklu sadursme. WireGuard labprāt būvēs tuneli uz tīklu, kas pārklājas ar jūsu vietējo, un tad maršrutu tabula izlemj, kurš no diviem identiskajiem prefiksiem uzvar.
Pierādiet to no ārpuses un tad saglabājiet ceļu atpakaļ
Pārbaudiet no mobilā savienojuma, nekad no LAN iekšpuses, jo no iekšpuses jūs pārbaudāt ceļu, kurā tunelis nemaz nav iesaistīts. Pierakstiet, kuru portu izmanto katra opcija, pirms to ieslēdzat, un pāradresējiet šo portu uz kasti.
Glabājiet ģenerēto failu vietā, kur nokļūstat bez tuneļa, un pa ceļam pierakstiet kastes ārējo nosaukumu.
Konfigurācija, kas nekad nav pārbaudīta no ārpuses, ir plāns, nevis strādājošs attālinātās piekļuves ceļš. Pārbaudiet vienu LAN resursdatoru pēc adreses, nevis pēc nosaukuma, lai DNS kļūda netiktu sajaukta ar maršrutēšanas kļūdu.