FRITZ!Box VPN се поврзува, но ништо не одговара: WireGuard или IPSec
Поврзан FRITZ!Box тунел што не стигнува до LAN е проблем со адресирање. Проверете ги четирите IPSec полиња или WireGuard peer пред повторно да увезете.
Тунелот известува дека е поврзан, иконата е зелена, а ништо на домашниот LAN не одговара. Тоа е најчестата жалба за далечинскиот пристап на FRITZ!Box и речиси никогаш не е виновен самиот тунел. Планот за адреси, идентитетот на подмрежата или табелата со рути на клиентот се погрешни. Кое од нив на крајот ќе го дебагирате зависи од тоа дали избравте WireGuard или постариот IPSec Fernzugang, затоа започнете со тоа што знаете што всушност сте конфигурирале.
Тунелот се крева, а LAN-от молчи
Тунел што се воспоставува докажува дека клучевите и крајната точка се точни. Но не докажува дека клиентот добил адреса кон која кутијата може да рутира, ниту дека клиентот знае кои префикси ѝ припаѓаат на тунелот. Тоа се два одделни успеха, и само вториот ви овозможува да стигнете до печатач.
Прво проверете ја адресата на клиентот, потоа неговата табела со рути.
Ако доделената адреса е надвор од подмрежата на LAN, кутијата нема каде да рутира назад. Ако е внатре во опсегот DHCP, кутијата може да ја даде истата адреса на локален уред. Двете создаваат тунел што се поврзува и LAN што ве игнорира.
Што всушност конфигурира секоја опција
Опцијата IPSec генерира конфигурациска датотека за еден корисник, која ги содржи претходно споделениот клуч и адресирањето. Ја увезувате во клиент што го зборува истиот профил, а на Windows тоа обично значи алатката на производителот, а не вградениот клиент. Опцијата WireGuard генерира peer за еден уред: пар клучеви, адреса внатре во тунелот и крајна точка.
Таа разлика го одредува вашиот модел на одржување. Секој WireGuard уред е посебен peer со свој клуч, па отповикувањето на изгубен телефон значи бришење на еден peer, додека другите продолжуваат да работат. IPSec отповикува со менување на споделената тајна или на корисничката конфигурација, што е по′грубо и влијае на секој уред што ја користи.
Ниту една опција не е застарена. Патот IPSec останува поддржаниот таму каде што далечната страна не може да го изврши WireGuard.
IPSec полињата што создаваат мртов тунел
Четири вредности мора да се совпаѓаат со вашиот LAN, а три од нив пропаѓаат на начин што личи на расипан тунел.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Мрежната адреса е онаа што ги фаќа луѓето. Подмрежата се идентификува со својата прва адреса, која обично завршува на нула, и внесувањето на адреса на домаќин таму создава конфигурација што изгледа сосема веродостојно и никогаш не се поврзува. Опсегот DHCP е важен од друга причина: клиентите на тунелот обично се доделуваат над него, па опсег што ја троши целата подмрежа не остава ништо за делење.
Преклопените подмрежи се другиот класичен случај. Ако далечниот LAN на кој му се придружувате користи ист префикс како LAN-от на кој седите, рутирањето не може да ги разликува, и пренумерирањето на едната страна е единственото вистинско решение. Ниту едно количество клиентска конфигурација не го решава тоа.
Зошто WireGuard пропаѓа поинаку
WireGuard нема претходно споделен клуч што може погрешно да се внесе, па неговите грешки се групираат околу дефиницијата на peer. Списокот на дозволени IP адреси што го испушта префиксот на LAN создава тунел што не пренесува ништо, бидејќи клиентот никогаш не праќа во него сообраќај насочен кон LAN. Застарениот јавен клуч на која било страна создава ракување што никогаш не завршува. Крајната точка што недостасува или погрешниот порт создаваат тишина наместо грешка.
Споредете ги двете страни поле по поле, наместо повторно да ја увезете датотеката и да се надевате.
Единствениот заеднички неуспех е судирот на подмрежи. WireGuard со задоволство ќе изгради тунел кон мрежа што се преклопува со вашата локална, а потоа табелата со рути одлучува кој од двата идентични префикси победува.
Докажете го тоа однадвор, а потоа задржете пат назад внатре
Тестирајте од мобилна врска, никогаш од внатрешноста на LAN, бидејќи одвнатре сѐ уште тестирате пат што воопшто не го вклучува тунелот. Запишете кој порт го користи секоја опција пред да ја вклучите, и проследете го тој порт кон кутијата.
Чувајте ја генерираната датотека некаде каде што стигнувате без тунелот, и воедно запишете го надворешното име на кутијата.
Конфигурација што никогаш не е тестирана однадвор е план, а не работен пат за далечински пристап. Тестирајте еден LAN домаќин по адреса, а не по име, за да не се помеша DNS неуспех со неуспех во рутирањето.