FRITZ!Box VPN kobler til, men ingenting svarer: WireGuard eller IPSec
En tilkoblet FRITZ!Box-tunnel som ikke når LAN-et, er et adresseringsproblem. Sjekk de fire IPSec-feltene eller WireGuard-peeren før du importerer på nytt.
Tunnelen melder tilkoblet, ikonet er grønt, og ingenting på hjemme-LAN-et svarer. Det er den vanligste klagen om FRITZ!Box-fjerntilgang, og det er nesten aldri tunnelen selv. Adresseplanen, identiteten til subnettet eller rutertabellen til klienten er feil. Hvilken av dem du ender med å feilsøke, avhenger av om du valgte WireGuard eller den eldre IPSec Fernzugang, så begynn med å vite hvilken du faktisk konfigurerte.
Tunnelen kommer opp, og LAN-et forblir stille
En tunnel som etableres, beviser at nøklene og endepunktet er riktige. Det beviser ikke at klienten fikk en adresse som boksen kan rute til, eller at klienten vet hvilke prefikser som hører til tunnelen. Det er to separate suksesser, og bare den andre lar deg nå en skriver.
Sjekk adressen til klienten først, deretter rutertabellen.
Hvis den tildelte adressen ligger utenfor LAN-subnettet, har boksen ingenting å rute tilbake til. Hvis den ligger innenfor DHCP-området, kan boksen gi samme adresse til en lokal enhet. Begge gir en tunnel som kobler til, og et LAN som ignorerer deg.
Hva hver valgmulighet faktisk konfigurerer
IPSec-valget genererer en konfigurasjonsfil for én bruker, med den forhåndsdelt nøkkelen og adresseringen. Du importerer den i en klient som snakker samme profil, noe som på Windows vanligvis betyr produsentens verktøy og ikke den innebygde klienten. WireGuard-valget genererer en peer for én enhet: et nøkkelpar, en adresse inne i tunnelen og et endepunkt.
Den forskjellen avgjør vedlikeholdsmodellen din. Hver WireGuard-enhet er en egen peer med sin egen nøkkel, så å tilbakekalle en mistet telefon betyr å slette én peer mens de andre fortsetter å virke. IPSec tilbakekaller ved å endre den delte hemmeligheten eller brukerkonfigurasjonen, noe som er grovere og rammer hver enhet som bruker den.
Ingen av valgene er utdaterte. IPSec-veien forblir den støttede der den fjerne enden ikke kan kjøre WireGuard.
IPSec-feltene som gir en død tunnel
Fire verdier må stemme med LAN-et ditt, og tre av dem feiler på måter som ser ut som en ødelagt tunnel.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Nettverksadressen er den som fanger folk. Et subnett identifiseres av sin første adresse, som vanligvis slutter på null, og å skrive inn en vertsadresse der gir en konfigurasjon som ser helt troverdig ut og aldri kobler til. DHCP-området betyr noe av en annen grunn: tunnelklienter tildeles vanligvis over det, så et område som spiser hele subnettet, lar ingenting være igjen å dele ut.
Overlappende subnett er den andre klassikeren. Hvis det fjerne LAN-et du kobler deg til, bruker samme prefiks som LAN-et du sitter på, kan ruting ikke skille dem, og omnummerering av én side er den eneste reelle løsningen. Ingen mengde klientkonfigurasjon løser det.
Hvorfor WireGuard feiler annerledes
WireGuard har ingen forhåndsdelt nøkkel å skrive feil, så feilene samler seg rundt peer-definisjonen i stedet. En liste over tillatte IP-er som utelater LAN-prefikset, gir en tunnel som ikke bærer noe, fordi klienten aldri sender LAN-rettet trafikk inn i den. En utdatert offentlig nøkkel på en av sidene gir et håndtrykk som aldri fullføres. Et manglende endepunkt eller en feil port gir stillhet i stedet for en feil.
Sammenlign begge sider felt for felt i stedet for å importere filen på nytt og håpe.
Den ene felles feilen er subnett-kollisjonen. WireGuard bygger gjerne en tunnel til et nettverk som overlapper ditt lokale, og da avgjør rutertabellen hvilket av de to identiske prefiksene som vinner.
Bevis det utenfra, og hold så en vei tilbake inn
Test fra en mobilforbindelse, aldri innenfra LAN-et, for innenfra tester du en vei som ikke involverer tunnelen i det hele tatt. Noter hvilken port hver valgmulighet bruker før du aktiverer den, og videresend den porten til boksen.
Oppbevar den genererte filen et sted du kommer til uten tunnelen, og noter samtidig det eksterne navnet til boksen.
En konfigurasjon som aldri er testet utenfra, er en plan og ikke en fungerende fjerntilgangsvei. Test én LAN-vert på adresse i stedet for på navn, slik at en DNS-feil ikke forveksles med en rutefeil.