VPN-ja e FRITZ!Box lidhet por asgjë nuk përgjigjet: WireGuard apo IPSec
Një tunel FRITZ!Box i lidhur që nuk arrin LAN-in është problem adresimi. Kontrolloni katër fushat IPSec ose peer-in WireGuard përpara se të riimportoni.
Tuneli raporton i lidhur, ikona është e gjelbër dhe asgjë në LAN-in e shtëpisë nuk përgjigjet. Kjo është ankesa më e zakonshme për aksesin në distancë të FRITZ!Box dhe pothuajse kurrë nuk është vetë tuneli. Plani i adresave, identiteti i nënrrjetit ose tabela e rrugëtimit e klientit janë të gabuara. Cilën prej tyre do të korrigjoni në fund varet nga fakti nëse zgjodhët WireGuard apo IPSec Fernzugang më të vjetër, prandaj filloni duke ditur çfarë keni konfiguruar në të vërtetë.
Tuneli ngrihet dhe LAN-i mbetet i heshtur
Një tunel që vendoset vërteton se çelësat dhe pika fundore janë të saktë. Nuk vërteton se klienti mori një adresë drejt së cilës kutia mund të rrugëtojë, as se klienti e di cilat prefikse i përkasin tunelit. Këto janë dy suksese të ndara, dhe vetëm i dyti ju lejon të arrini një printer.
Kontrolloni së pari adresën e klientit, pastaj tabelën e tij të rrugëtimit.
Nëse adresa e caktuar qëndron jashtë nënrrjetit të LAN-it, kutia nuk ka ku të rrugëtojë mbrapsht. Nëse qëndron brenda intervalit DHCP, kutia mund t'i japë të njëjtën adresë një pajisjeje lokale. Të dyja prodhojnë një tunel që lidhet dhe një LAN që ju injoron.
Çfarë konfiguron në të vërtetë secili opsion
Opsioni IPSec gjeneron një skedar konfigurimi për një përdorues, që përmban çelësin e ndarë paraprakisht dhe adresimin. E importoni në një klient që flet të njëjtin profil, gjë që në Windows zakonisht nënkupton mjetin e prodhuesit dhe jo klientin e integruar. Opsioni WireGuard gjeneron një peer për një pajisje: një çift çelësash, një adresë brenda tunelit dhe një pikë fundore.
Ky ndryshim përcakton modelin tuaj të mirëmbajtjes. Çdo pajisje WireGuard është një peer i veçantë me çelësin e vet, kështu që revokimi i një telefoni të humbur do të thotë fshirja e një peer, ndërsa të tjerët vazhdojnë të punojnë. IPSec revokon duke ndryshuar sekretin e përbashkët ose konfigurimin e përdoruesit, gjë që është më e trashë dhe prek çdo pajisje që e përdor.
Asnjëri opsion nuk është i vjetruar. Rruga IPSec mbetet ajo e mbështetur aty ku fundi i largët nuk mund të ekzekutojë WireGuard.
Fushat IPSec që prodhojnë një tunel të vdekur
Katër vlera duhet të përputhen me LAN-in tuaj, dhe tre prej tyre dështojnë në një mënyrë që duket si tunel i thyer.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Adresa e rrjetit është ajo që kap njerëzit. Një nënrrjet identifikohet nga adresa e tij e parë, e cila zakonisht mbaron me zero, dhe futja e një adrese hosti atje prodhon një konfigurim që duket plotësisht i besueshëm dhe nuk lidhet kurrë. Intervali DHCP ka rëndësi për një arsye tjetër: klientët e tunelit caktohen zakonisht mbi të, kështu që një interval që konsumon të gjithë nënrrjetin nuk lë asgjë për të shpërndarë.
Nënrrjetet që mbivendosen janë rasti tjetër klasik. Nëse LAN-i i largët ku po bashkoheni përdor të njëjtin prefiks si LAN-i ku jeni ulur, rrugëtimi nuk mund t'i dallojë të dy, dhe rinumërimi i njërës anë është rregullimi i vetëm i vërtetë. Asnjë sasi konfigurimi klienti nuk e zgjidh atë.
Pse WireGuard dështon ndryshe
WireGuard nuk ka çelës të ndarë paraprakisht për t'u shtypur gabimisht, kështu që dështimet e tij grupohen rreth përkufizimit të peer-it. Një listë e IP-ve të lejuara që lë jashtë prefiksin e LAN-it prodhon një tunel që nuk mbart asgjë, sepse klienti nuk dërgon kurrë në të trafik të drejtuar nga LAN-i. Një çelës publik i vjetëruar në cilëndo anë prodhon një shtrëngim duarsh që nuk përfundon kurrë. Një pikë fundore që mungon ose një port i gabuar prodhojnë heshtje në vend të gabimit.
Krahasoni të dyja anët fushë për fushë në vend që të riimportoni skedarin dhe të shpresoni.
Dështimi i vetëm i përbashkët është përplasja e nënrrjeteve. WireGuard do të ndërtojë me kënaqësi një tunel drejt një rrjeti që mbivendoset me tuajin lokal, dhe pastaj tabela e rrugëtimit vendos cili nga dy prefikset identikë fiton.
Vërtetojeni nga jashtë dhe pastaj mbani një rrugë kthimi brenda
Testoni nga një lidhje celulare, kurrë nga brenda LAN-it, sepse nga brenda po testoni një rrugë që nuk përfshin fare tunelin. Shënoni cilin port përdor secili opsion përpara se ta aktivizoni, dhe përcillni atë port drejt kutisë.
Mbani skedarin e gjeneruar diku ku arrini pa tunelin, dhe me këtë rast shënoni emrin e jashtëm të kutisë.
Një konfigurim që nuk është testuar kurrë nga jashtë është plan, jo një rrugë aksesi në distancë që funksionon. Testoni një host të LAN-it sipas adresës dhe jo sipas emrit, që një dështim DNS të mos ngatërrohet me një dështim rrugëtimi.