VPN-ul FRITZ!Box se conectează, dar nimic nu răspunde: WireGuard sau IPSec
Un tunel FRITZ!Box conectat care nu ajunge în LAN este o problemă de adresare. Verificați cele patru câmpuri IPSec sau peer-ul WireGuard înainte de a reimporta.
Tunelul raportează conectat, pictograma este verde, iar nimic din LAN-ul de acasă nu răspunde. Este cea mai frecventă reclamație despre accesul de la distanță al FRITZ!Box și aproape niciodată nu tunelul însuși este vinovat. Planul de adrese, identitatea subrețelei sau tabela de rutare a clientului sunt greșite. Pe care dintre ele veți ajunge să le depanați depinde de dacă ați ales WireGuard sau mai vechiul IPSec Fernzugang, așa că începeți prin a ști ce ați configurat de fapt.
Tunelul urcă, iar LAN-ul rămâne mut
Un tunel care se stabilește dovedește că cheile și punctul final sunt corecte. Nu dovedește că clientul a primit o adresă către care cutia poate ruta, nici că clientul știe ce prefixe aparțin tunelului. Sunt două reușite separate, și doar a doua vă permite să ajungeți la o imprimantă.
Verificați mai întâi adresa clientului, apoi tabela lui de rutare.
Dacă adresa atribuită se află în afara subrețelei LAN, cutia nu are unde să ruteze înapoi. Dacă se află în intervalul DHCP, cutia poate da aceeași adresă unui dispozitiv local. Ambele produc un tunel care se conectează și un LAN care vă ignoră.
Ce configurează de fapt fiecare opțiune
Opțiunea IPSec generează un fișier de configurare pentru un singur utilizator, care conține cheia prepartajată și adresarea. Îl importați într-un client care vorbește același profil, ceea ce în Windows înseamnă de obicei instrumentul producătorului, nu clientul integrat. Opțiunea WireGuard generează un peer pentru un singur dispozitiv: o pereche de chei, o adresă în interiorul tunelului și un punct final.
Această diferență decide modelul dumneavoastră de întreținere. Fiecare dispozitiv WireGuard este un peer separat cu cheia lui, așa că revocarea unui telefon pierdut înseamnă ștergerea unui peer în timp ce celelalte continuă să funcționeze. IPSec revocă schimbând secretul partajat sau configurația utilizatorului, ceea ce este mai grosier și afectează fiecare dispozitiv care îl folosește.
Niciuna dintre opțiuni nu este depășită. Calea IPSec rămâne cea acceptată acolo unde capătul îndepărtat nu poate rula WireGuard.
Câmpurile IPSec care produc un tunel mort
Patru valori trebuie să corespundă cu LAN-ul dumneavoastră, iar trei dintre ele eșuează într-un mod care arată ca un tunel stricat.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Adresa de rețea este cea care prinde oamenii. O subrețea este identificată prin prima ei adresă, care de obicei se termină în zero, iar introducerea unei adrese de gazdă acolo produce o configurație care pare perfect plauzibilă și nu se conectează niciodată. Intervalul DHCP contează dintr-un alt motiv: clienții tunelului primesc de obicei adrese deasupra lui, așa că un interval care consumă toată subrețeaua nu lasă nimic de distribuit.
Subrețelele suprapuse sunt celălalt caz clasic. Dacă LAN-ul îndepărtat la care vă alăturați folosește același prefix ca LAN-ul pe care stați, rutarea nu le poate distinge, iar renumerotarea unei singure părți este singura soluție reală. Nicio cantitate de configurație a clientului nu rezolvă asta.
De ce WireGuard eșuează altfel
WireGuard nu are o cheie prepartajată care să fie tastată greșit, așa că eșecurile lui se adună în jurul definiției peer-ului. O listă de IP-uri permise care omite prefixul LAN produce un tunel care nu transportă nimic, fiindcă clientul nu trimite niciodată în el trafic destinat LAN-ului. O cheie publică veche pe oricare parte produce o strângere de mână care nu se termină niciodată. Un punct final lipsă sau un port greșit produc tăcere în loc de eroare.
Comparați ambele părți câmp cu câmp în loc să reimportați fișierul și să sperați.
Singura defecțiune comună este coliziunea de subrețele. WireGuard va construi bucuros un tunel către o rețea care se suprapune cu a dumneavoastră, iar apoi tabela de rutare decide care dintre cele două prefixe identice câștigă.
Dovediți-o din exterior, apoi păstrați o cale de întoarcere
Testați de pe o conexiune mobilă, niciodată din interiorul LAN-ului, pentru că din interior testați o cale care nu implică deloc tunelul. Notați ce port folosește fiecare opțiune înainte de a o activa, și redirecționați acel port către cutie.
Păstrați fișierul generat undeva unde ajungeți fără tunel, și notați în treacăt numele extern al cutiei.
O configurație care nu a fost niciodată testată din exterior este un plan, nu o cale de acces la distanță funcțională. Testați o gazdă din LAN după adresă, nu după nume, ca o defecțiune DNS să nu fie confundată cu o defecțiune de rutare.