VPN на FRITZ!Box-у се повезује, али ништа не одговара: WireGuard или IPSec
Повезан FRITZ!Box тунел који не достиже LAN јесте проблем адресирања. Проверите четири IPSec поља или WireGuard peer пре поновног увоза.
Тунел извештава да је повезан, икона је зелена, а ништа на кућном LAN-у не одговара. То је најчешћа жалба на даљински приступ FRITZ!Box-у и готово никад није сам тунел. План адреса, идентитет подмреже или табела рутирања клијента нису исправни. Које ћете од тога на крају отклањати зависи од тога да ли сте изабрали WireGuard или старији IPSec Fernzugang, зато почните тиме да знате шта сте заиста конфигурисали.
Тунел се подигне, а LAN остане нем
Тунел који се успостави доказује да су кључеви и крајња тачка исправни. Не доказује да је клијент добио адресу на коју кутија може да рутира, ни да клијент зна који префикси припадају тунелу. То су два одвојена успеха и само други омогућава да достигнете штампач.
Прво проверите адресу клијента, затим његову табелу рутирања.
Ако додељена адреса лежи изван подмреже LAN-а, кутија нема куда да рутира назад. Ако лежи унутар DHCP опсега, кутија може да додели исту адресу локалном уређају. Обоје даје тунел који се повезује и LAN који вас игнорише.
Шта свака опција заправо конфигурише
Опција IPSec генерише конфигурациону датотеку за једног корисника, у којој су унапред дељени кључ и адресирање. Увозите је у клијента који говори исти профил, што на Windows-у обично значи алат произвођача, а не уграђени клијент. Опција WireGuard генерише peer за један уређај: пар кључева, адресу унутар тунела и крајњу тачку.
Та разлика одређује ваш модел одржавања. Сваки WireGuard уређај је засебан peer са сопственим кључем, па опозив изгубљеног телефона значи брисање једног peer-а док остали настављају да раде. IPSec опозива променом заједничке тајне или корисничке конфигурације, што је грубље и погађа сваки уређај који га користи.
Ниједна опција није застарела. IPSec пут остаје подржан свуда где удаљена страна не може да покрене WireGuard.
IPSec поља која дају мртав тунел
Четири вредности морају да се слажу са вашим LAN-ом, а три од њих отказују на начин који изгледа као покварен тунел.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Мрежна адреса је она која људе превари. Подмрежа се идентификује својом првом адресом, која обично завршава нулом, а уписивање адресе хоста тамо даје конфигурацију која изгледа потпуно уверљиво и никада се не повеже. DHCP опсег је важан из другог разлога: клијенти тунела обично се додељују изнад њега, па опсег који поједе целу подмрежу не оставља ништа за доделу.
Подмреже које се преклапају други су класичан случај. Ако удаљени LAN коме се придружујете користи исти префикс као LAN на коме седите, рутирање не може да их разликује, а пренумерација једне стране једини је стварни поправак. Ниједна количина клијентске конфигурације то не решава.
Зашто WireGuard отказује другачије
WireGuard нема унапред дељени кључ који може погрешно да се упише, па се његове грешке групишу око дефиниције peer-а. Листа дозвољених IP адреса која изоставља префикс LAN-а даје тунел који ништа не носи, јер клијент никада не шаље у њега саобраћај намењен LAN-у. Застарео јавни кључ на било којој страни даје руковање које се никада не завршава. Недостајућа крајња тачка или погрешан порт дају тишину уместо грешке.
Упоредите обе стране поље по поље уместо да поново увезете датотеку и надате се.
Једини заједнички отказ је судар подмрежа. WireGuard ће радо изградити тунел ка мрежи која се преклапа са вашом локалном, а затим табела рутирања одлучује који од двају идентичних префикса побеђује.
Докажите то споља, а затим задржите пут назад унутра
Тестирајте са мобилне везе, никада из унутрашњости LAN-а, јер изнутра тестирате пут који уопште не укључује тунел. Забележите који порт свака опција користи пре него што је омогућите и проследите тај порт на кутију.
Чувајте генерисану датотеку негде где можете да дођете без тунела и успут забележите спољно име кутије.
Конфигурација која никада није испробана споља је план, а не радни пут даљинског приступа. Тестирајте једног LAN хоста по адреси, а не по имену, да се отказ DNS-а не замени са отказом рутирања.