FRITZ!Box VPN knyter til, men ingenting svarar: WireGuard eller IPSec
Ein tilkopla FRITZ!Box-tunnel som ikkje når LAN-et, er eit adresseringsproblem. Sjekk dei fire IPSec-felta eller WireGuard-peeren før du importerer på nytt.
Tunnelen melder tilkopla, ikonet er grønt, og ingenting på heime-LAN-et svarar. Det er den vanlegaste klaga om FRITZ!Box-fjerntilgang, og det er nesten aldri tunnelen sjølv. Adresseplanen, identiteten til subnettet eller rutetabellen til klienten er feil. Kven av dei du til slutt feilsøkjer, kjem an på om du valde WireGuard eller den eldre IPSec Fernzugang, så byrja med å vite kven du faktisk konfigurerte.
Tunnelen kjem opp, og LAN-et held seg stille
Ein tunnel som vert etablert, provar at nøklane og endepunktet er rette. Det provar ikkje at klienten fekk ei adresse som boksen kan rute til, eller at klienten veit kva prefiks som høyrer til tunnelen. Det er to separate suksessar, og berre den andre lèt deg nå ein skrivar.
Sjekk adressa til klienten fyrst, deretter rutetabellen.
Viss den tildelte adressa ligg utanfor LAN-subnettet, har boksen ingenting å rute tilbake til. Viss ho ligg innanfor DHCP-området, kan boksen gje same adresse til ein lokal eining. Begge gjev ein tunnel som knyter til, og eit LAN som ignorerer deg.
Kva kvart val faktisk konfigurerer
IPSec-valet genererer ei konfigurasjonsfil for éin brukar, med den førehandsdélte nøkkelen og adresseringa. Du importerer ho i ein klient som snakkar same profil, noko som på Windows vanlegvis tyder verktøyet til produsenten og ikkje den innebygde klienten. WireGuard-valet genererer ein peer for éi eining: eit nøkkelpar, ei adresse inne i tunnelen og eit endepunkt.
Den skilnaden avgjer vedlikehaldsmodellen din. Kvar WireGuard-eining er ein eigen peer med sin eigen nøkkel, så å kalle attende ein mist telefon tyder å slette éin peer medan dei andre held fram med å verke. IPSec kallar attende ved å endre den delte løyndomen eller brukarkonfigurasjonen, noko som er grovare og råkar kvar eining som brukar han.
Ingen av vala er utdaterte. IPSec-vegen er framleis den støtta der den fjerne enden ikkje kan køyre WireGuard.
IPSec-felta som gjev ein daud tunnel
Fire verdiar må stemme med LAN-et ditt, og tre av dei feilar på måtar som ser ut som ein øydelagd tunnel.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Nettverksadressa er den som fangar folk. Eit subnett vert identifisert av den fyrste adressa si, som vanlegvis endar på null, og å skrive inn ei vertsadresse der gjev ein konfigurasjon som ser heilt truverdig ut og aldri knyter til. DHCP-området har noko å seie av ei anna årsak: tunnelklientar vert vanlegvis tildelte over det, så eit område som et heile subnettet, lèt ingenting liggje att å dele ut.
Overlappande subnett er den andre klassikaren. Viss det fjerne LAN-et du knyter deg til, brukar same prefiks som LAN-et du sit på, kan ruting ikkje skilje dei, og omnummerering av éi side er den einaste reelle løysinga. Ingen mengd klientkonfigurasjon løyser det.
Kvifor WireGuard feilar annleis
WireGuard har ingen førehandsdélt nøkkel å skrive feil, så feila samlar seg rundt peer-definisjonen i staden. Ei liste over tillatne IP-ar som utelèt LAN-prefikset, gjev ein tunnel som ikkje ber noko, fordi klienten aldri sender LAN-retta trafikk inn i han. Ein utdatert offentleg nøkkel på ei av sidene gjev eit handtrykk som aldri vert fullført. Eit manglande endepunkt eller ein feil port gjev stille i staden for ein feil.
Samanlikn begge sider felt for felt i staden for å importere fila på nytt og håpe.
Den einaste felles feilen er subnett-kollisjonen. WireGuard byggjer gjerne ein tunnel til eit nettverk som overlappar ditt lokale, og då avgjer rutetabellen kven av dei to identiske prefiksa som vinn.
Prov det utanfrå, og hald så ein veg attende inn
Test frå ein mobilforbindelse, aldri innanfrå LAN-et, for innanfrå testar du ein veg som ikkje involverer tunnelen i det heile. Noter kva port kvart val brukar før du aktiverer det, og vidaresend den porten til boksen.
Oppbevar den genererte fila på ein stad du kjem til utan tunnelen, og noter samstundes det eksterne namnet til boksen.
Ein konfigurasjon som aldri er testa utanfrå, er ein plan og ikkje ein fungerande fjerntilgangsveg. Test éin LAN-vert på adresse i staden for på namn, slik at ein DNS-feil ikkje vert forveksla med ein rutefeil.