VPN FRITZ!Box bersambung tetapi tiada apa menjawab: WireGuard atau IPSec
Terowong FRITZ!Box yang bersambung tetapi tidak sampai ke LAN ialah masalah pengalamatan. Semak empat medan IPSec atau peer WireGuard sebelum mengimport semula.
Terowong melaporkan bersambung, ikon hijau, dan tiada apa-apa di LAN rumah yang menjawab. Itulah aduan paling biasa tentang akses jauh FRITZ!Box, dan hampir tidak pernah terowong itu sendiri yang salah. Pelan alamat, identiti subnet atau jadual laluan klien yang tidak betul. Yang mana antaranya anda akhirnya nyahpepijat bergantung pada sama ada anda memilih WireGuard atau IPSec Fernzugang yang lebih lama, jadi mulakan dengan mengetahui yang mana sebenarnya anda konfigurasikan.
Terowong naik dan LAN kekal senyap
Terowong yang terbentuk membuktikan kunci dan titik akhir betul. Ia tidak membuktikan bahawa klien menerima alamat yang kotak boleh laluan, atau bahawa klien tahu awalan mana milik terowong itu. Kedua-duanya kejayaan berasingan, dan hanya yang kedua membolehkan anda mencapai pencetak.
Semak alamat klien dahulu, kemudian jadual laluannya.
Jika alamat yang diberikan berada di luar subnet LAN, kotak tiada tujuan untuk dilalui semula. Jika ia berada dalam julat DHCP, kotak mungkin memberikan alamat yang sama kepada peranti setempat. Kedua-duanya menghasilkan terowong yang bersambung dan LAN yang mengabaikan anda.
Apa yang sebenarnya dikonfigurasikan oleh setiap pilihan
Pilihan IPSec menjana fail konfigurasi untuk satu pengguna, mengandungi kunci yang dikongsi terlebih dahulu dan pengalamatan. Anda mengimportnya ke dalam klien yang bertutur profil yang sama, yang di Windows biasanya bermaksud alat vendor dan bukan klien terbina dalam. Pilihan WireGuard menjana peer untuk satu peranti: pasangan kunci, alamat di dalam terowong dan titik akhir.
Perbezaan itu menentukan model penyelenggaraan anda. Setiap peranti WireGuard ialah peer berasingan dengan kuncinya sendiri, jadi membatalkan telefon yang hilang bermakna memadam satu peer manakala yang lain terus berfungsi. IPSec membatalkan dengan menukar rahsia kongsi atau konfigurasi pengguna, yang lebih kasar dan menjejaskan setiap peranti yang menggunakannya.
Tiada pilihan yang usang. Laluan IPSec kekal yang disokong di mana hujung jauh tidak dapat menjalankan WireGuard.
Medan IPSec yang menghasilkan terowong mati
Empat nilai mesti sepadan dengan LAN anda, dan tiga daripadanya gagal dengan cara yang kelihatan seperti terowong rosak.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Alamat rangkaian itulah yang memerangkap orang. Subnet dikenal pasti melalui alamat pertamanya, yang biasanya berakhir dengan sifar, dan memasukkan alamat hos di situ menghasilkan konfigurasi yang kelihatan sangat munasabah dan tidak pernah bersambung. Julat DHCP penting atas sebab lain: klien terowong biasanya diberikan di atasnya, jadi julat yang memakan seluruh subnet tidak meninggalkan apa-apa untuk diagihkan.
Subnet yang bertindih ialah kes klasik yang lain. Jika LAN jauh yang anda sertai menggunakan awalan yang sama dengan LAN tempat anda duduk, penghalaan tidak dapat membezakan keduanya, dan menomborkan semula satu pihak ialah satu-satunya pembaikan sebenar. Tiada jumlah konfigurasi klien dapat menyelesaikannya.
Mengapa WireGuard gagal secara berbeza
WireGuard tiada kunci yang dikongsi terlebih dahulu untuk tersalah taip, jadi kegagalannya berkumpul di sekitar definisi peer. Senarai IP yang dibenarkan yang tertinggal awalan LAN menghasilkan terowong yang tidak membawa apa-apa, kerana klien tidak pernah menghantar trafik menuju LAN ke dalamnya. Kunci awam yang lapuk pada mana-mana pihak menghasilkan jabat tangan yang tidak pernah selesai. Titik akhir yang tiada atau port yang salah menghasilkan kesenyapan dan bukan ralat.
Bandingkan kedua-dua pihak medan demi medan daripada mengimport fail itu semula dan berharap.
Satu-satunya kegagalan bersama ialah perlanggaran subnet. WireGuard akan dengan senang hati membina terowong ke rangkaian yang bertindih dengan rangkaian setempat anda, dan kemudian jadual laluan menentukan awalan yang serupa mana yang menang.
Buktikan dari luar, kemudian simpan jalan masuk semula
Uji dari sambungan mudah alih, jangan sekali-kali dari dalam LAN, kerana dari dalam anda menguji laluan yang tidak melibatkan terowong langsung. Catat port mana yang digunakan oleh setiap pilihan sebelum anda mengaktifkannya, dan teruskan port itu ke kotak.
Simpan fail yang dijana di tempat yang boleh anda capai tanpa terowong, dan sambil itu catat nama luaran kotak.
Konfigurasi yang tidak pernah diuji dari luar ialah pelan, bukan laluan akses jauh yang berfungsi. Uji satu hos LAN melalui alamat dan bukan melalui nama, supaya kegagalan DNS tidak disalah anggap sebagai kegagalan penghalaan.