VPN na FRITZ!Box se poveže, a nič ne odgovori: WireGuard ali IPSec
Povezan tunel FRITZ!Box, ki ne doseže omrežja LAN, je težava z naslavljanjem. Pred ponovnim uvozom preverite štiri polja IPSec ali peer WireGuard.
Tunel sporoča, da je povezan, ikona je zelena, in nič v domačem omrežju LAN ne odgovori. To je najpogostejša pritožba glede oddaljenega dostopa FRITZ!Box in skoraj nikoli ni kriv tunel sam. Napačni so načrt naslovov, identiteta podomrežja ali usmerjevalna tabela odjemalca. Katero od tega boste nazadnje odpravljali, je odvisno od tega, ali ste izbrali WireGuard ali starejši IPSec Fernzugang, zato začnite s tem, da veste, kaj ste pravzaprav nastavili.
Tunel se dvigne, omrežje LAN pa ostane tiho
Tunel, ki se vzpostavi, dokazuje, da so ključi in končna točka pravilni. Ne dokazuje pa, da je odjemalec dobil naslov, na katerega zna škatla usmerjati, niti da odjemalec ve, kateri predponi pripadajo tunelu. To sta dva ločena uspeha in le drugi vam omogoči, da dosežete tiskalnik.
Najprej preverite naslov odjemalca, nato njegovo usmerjevalno tabelo.
Če je dodeljeni naslov zunaj podomrežja LAN, škatla nima kam usmerjati nazaj. Če je znotraj obsega DHCP, lahko škatla isti naslov dodeli lokalni napravi. Oboje ustvari tunel, ki se poveže, in omrežje LAN, ki vas ignorira.
Kaj vsaka možnost v resnici nastavi
Možnost IPSec ustvari konfiguracijsko datoteko za enega uporabnika, ki vsebuje vnaprej skupno rabljeni ključ in naslavljanje. Uvozite jo v odjemalca, ki govori isti profil, kar v sistemu Windows običajno pomeni orodje proizvajalca in ne vgrajenega odjemalca. Možnost WireGuard ustvari peer za eno napravo: par ključev, naslov znotraj tunela in končno točko.
Ta razlika odloča o vašem modelu vzdrževanja. Vsaka naprava WireGuard je ločen peer z lastnim ključem, zato preklic izgubljenega telefona pomeni izbris enega peerja, medtem ko drugi delujejo naprej. IPSec prekliče s spremembo skupne skrivnosti ali uporabnikove konfiguracije, kar je bolj grobo in prizadene vsako napravo, ki jo uporablja.
Nobena možnost ni zastarela. Pot IPSec ostaja podprta povsod, kjer oddaljena stran ne more poganjati WireGuarda.
Polja IPSec, ki ustvarijo mrtev tunel
Štiri vrednosti se morajo ujemati z vašim omrežjem LAN, in tri od njih spodletijo tako, da je videti kot pokvarjen tunel.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Prav omrežni naslov ljudi ujame. Podomrežje se prepozna po svojem prvem naslovu, ki se običajno konča z ničlo, in vnos naslova gostitelja tja ustvari konfiguracijo, ki je videti povsem verjetna in se nikoli ne poveže. Obseg DHCP je pomemben iz drugega razloga: odjemalci tunela se običajno dodeljujejo nad njim, zato obseg, ki požre celotno podomrežje, ne pusti ničesar za razdeljevanje.
Prekrivajoča se podomrežja so drug klasičen primer. Če oddaljeno omrežje LAN, ki se mu pridružujete, uporablja isto predpono kot omrežje, na katerem sedite, usmerjanje tega ne more razlikovati, in preštevilčenje ene strani je edina resnična rešitev. Nobena količina konfiguracije odjemalca tega ne reši.
Zakaj WireGuard spodleti drugače
WireGuard nima vnaprej skupno rabljenega ključa, ki bi ga bilo mogoče napačno vtipkati, zato se njegove napake zbirajo okoli definicije peerja. Seznam dovoljenih naslovov IP, ki izpusti predpono omrežja LAN, ustvari tunel, ki ne prenaša ničesar, ker odjemalec vanj nikoli ne pošlje prometa, namenjenega omrežju LAN. Zastarel javni ključ na kateri koli strani ustvari rokovanje, ki se nikoli ne dokonča. Manjkajoča končna točka ali napačna vrata ustvarita tišino namesto napake.
Primerjajte obe strani polje za poljem, namesto da datoteko znova uvozite in upate.
Edina skupna napaka je trčenje podomrežij. WireGuard bo z veseljem zgradil tunel do omrežja, ki se prekriva z vašim lokalnim, nato pa usmerjevalna tabela odloči, katera od dveh enakih predpon zmaga.
Dokažite to od zunaj in si nato pustite pot nazaj noter
Preizkusite z mobilno povezavo, nikoli od znotraj omrežja LAN, ker od znotraj preizkušate pot, ki tunela sploh ne vključuje. Zabeležite, katera vrata uporablja posamezna možnost, preden jo omogočite, in ta vrata posredujte na škatlo.
Ustvarjeno datoteko hranite nekje, kamor pridete brez tunela, in spotoma zabeležite še zunanje ime škatle.
Konfiguracija, ki ni bila nikoli preizkušena od zunaj, je načrt in ne delujoča pot oddaljenega dostopa. Preizkusite enega gostitelja v omrežju LAN po naslovu in ne po imenu, da se napaka DNS ne zamenja z napako usmerjanja.