VPN na FRITZ!Box sa pripojí, ale nič neodpovedá: WireGuard alebo IPSec
Pripojený tunel FRITZ!Box, ktorý sa nedostane do siete LAN, je problém s adresovaním. Pred opätovným importom skontrolujte štyri polia IPSec alebo peer WireGuard.
Tunel hlási pripojenie, ikona je zelená a v domácej sieti LAN nič neodpovedá. To je najčastejšia sťažnosť na vzdialený prístup FRITZ!Box a takmer nikdy to nie je samotný tunel. Zlý je plán adries, identita podsiete alebo smerovacia tabuľka klienta. Ktorú z toho budete nakoniec ladiť, závisí od toho, či ste zvolili WireGuard alebo starší IPSec Fernzugang, takže začnite tým, že viete, čo ste vlastne nastavili.
Tunel naskočí a LAN mlčí
Tunel, ktorý sa nadviaže, dokazuje, že kľúče a koncový bod sú správne. Nedokazuje však, že klient dostal adresu, na ktorú vie box smerovať, ani že klient vie, ktoré prefixy patria do tunela. To sú dva oddelené úspechy a iba ten druhý vám umožní dostať sa k tlačiarni.
Najprv skontrolujte adresu klienta, potom jeho smerovaciu tabuľku.
Ak pridelená adresa leží mimo podsiete LAN, box nemá kam smerovať späť. Ak leží v rozsahu DHCP, box môže prideliť rovnakú adresu miestnemu zariadeniu. Oboje vedie k tunelu, ktorý sa pripojí, a k sieti LAN, ktorá vás ignoruje.
Čo ktorá možnosť skutočne nastavuje
Možnosť IPSec vygeneruje konfiguračný súbor pre jedného používateľa, ktorý obsahuje vopred zdieľaný kľúč a adresovanie. Importujete ho do klienta, ktorý hovorí rovnakým profilom, čo vo Windows zvyčajne znamená nástroj výrobcu, nie vstavaného klienta. Možnosť WireGuard vygeneruje peer pre jedno zariadenie: pár kľúčov, adresu vnútri tunela a koncový bod.
Ten rozdiel určuje váš model údržby. Každé zariadenie WireGuard je samostatný peer s vlastným kľúčom, takže odvolanie strateného telefónu znamená zmazať jeden peer, zatiaľ čo ostatné fungujú ďalej. IPSec odvoláva zmenou spoločného tajomstva alebo konfigurácie používateľa, čo je hrubšie a zasahuje každé zariadenie, ktoré ho používa.
Ani jedna možnosť nie je zastaraná. Cesta cez IPSec zostáva podporovaná všade tam, kde vzdialená strana nevie spustiť WireGuard.
Polia IPSec, ktoré vytvoria mŕtvy tunel
Štyri hodnoty musia súhlasiť s vašou sieťou LAN a tri z nich zlyhávajú tak, že to vyzerá ako pokazený tunel.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Práve sieťová adresa ľudí nachytá. Podsieť sa identifikuje svojou prvou adresou, ktorá sa zvyčajne končí nulou, a zadanie adresy hostiteľa na to miesto vytvorí konfiguráciu, ktorá vyzerá úplne uveriteľne a nikdy sa nepripojí. Rozsah DHCP je dôležitý z iného dôvodu: klienti tunela sa zvyčajne prideľujú nad ním, takže rozsah, ktorý spotrebuje celú podsieť, nenechá nič na rozdávanie.
Prekrývajúce sa podsiete sú druhý klasický prípad. Ak vzdialená sieť LAN, ku ktorej sa pripájate, používa rovnaký prefix ako sieť, na ktorej sedíte, smerovanie ich nedokáže rozlíšiť a prečíslovanie jednej strany je jediná skutočná oprava. Žiadne množstvo konfigurácie klienta to nevyrieši.
Prečo WireGuard zlyháva inak
WireGuard nemá vopred zdieľaný kľúč, ktorý by sa dal prepísať, takže jeho zlyhania sa sústreďujú okolo definície peer. Zoznam povolených IP, ktorý vynechá prefix siete LAN, vytvorí tunel, ktorý nič nepreváža, pretože klient doň nikdy nepošle prevádzku smerujúcu do siete LAN. Zastaraný verejný kľúč na ktorejkoľvek strane vytvorí podanie ruky, ktoré sa nikdy nedokončí. Chýbajúci koncový bod alebo nesprávny port vytvoria ticho namiesto chyby.
Porovnajte obe strany pole po poli, namiesto toho aby ste súbor znova importovali a dúfali.
Jediné spoločné zlyhanie je kolízia podsietí. WireGuard ochotne postaví tunel do siete, ktorá sa prekrýva s vašou miestnou, a potom smerovacia tabuľka rozhodne, ktorý z dvoch rovnakých prefixov vyhrá.
Dokážte to zvonku a potom si nechajte cestu späť dovnútra
Testujte z mobilného pripojenia, nikdy zvnútra siete LAN, pretože zvnútra testujete cestu, ktorá tunel vôbec nezahŕňa. Poznamenajte si, ktorý port každá možnosť používa, skôr než ju zapnete, a preposlite ten port na box.
Uložte vygenerovaný súbor niekde, kam sa dostanete bez tunela, a popri tom si zapíšte externé meno boxu.
Konfigurácia, ktorá nikdy nebola otestovaná zvonku, je plán, nie fungujúca cesta vzdialeného prístupu. Testujte jedného hostiteľa v sieti LAN podľa adresy, nie podľa mena, aby sa zlyhanie DNS neplietlo so zlyhaním smerovania.