FRITZ!Box VPN ansluter men ingenting svarar: WireGuard eller IPSec
En ansluten FRITZ!Box-tunnel som inte når LAN:et är ett adresseringsproblem. Kontrollera de fyra IPSec-fälten eller WireGuard-peeren innan du importerar igen.
Tunneln rapporterar ansluten, ikonen är grön och ingenting på hemmets LAN svarar. Det är det vanligaste klagomålet på FRITZ!Box-fjärråtkomst, och det är nästan aldrig tunneln själv. Adressplanen, subnätets identitet eller klientens routingtabell är fel. Vilken av dem du till slut felsöker beror på om du valde WireGuard eller den äldre IPSec Fernzugang, så börja med att veta vilken du faktiskt konfigurerade.
Tunneln kommer upp och LAN:et förblir tyst
En tunnel som upprättas bevisar att nycklarna och slutpunkten är riktiga. Det bevisar inte att klienten fick en adress som boxen kan routa till, eller att klienten vet vilka prefix som hör till tunneln. Det är två separata framgångar, och bara den andra låter dig nå en skrivare.
Kontrollera klientens adress först, sedan dess routingtabell.
Om den tilldelade adressen ligger utanför LAN-subnätet har boxen ingenting att routa tillbaka till. Om den ligger inom DHCP-intervallet kan boxen ge samma adress till en lokal enhet. Båda ger en tunnel som ansluter och ett LAN som ignorerar dig.
Vad varje alternativ faktiskt konfigurerar
IPSec-alternativet genererar en konfigurationsfil för en användare, med den fördelade nyckeln och adresseringen. Du importerar den i en klient som talar samma profil, vilket i Windows vanligtvis betyder tillverkarens verktyg och inte den inbyggda klienten. WireGuard-alternativet genererar en peer för en enhet: ett nyckelpar, en adress inuti tunneln och en slutpunkt.
Den skillnaden avgör din underhållsmodell. Varje WireGuard-enhet är en egen peer med egen nyckel, så att återkalla en borttappad telefon betyder att radera en peer medan de andra fortsätter fungera. IPSec återkallar genom att ändra den delade hemligheten eller användarens konfiguration, vilket är grövre och träffar varje enhet som använder den.
Inget av alternativen är föråldrat. IPSec-vägen är fortfarande den som stöds där den bortre änden inte kan köra WireGuard.
De IPSec-fält som ger en död tunnel
Fyra värden måste stämma med ditt LAN, och tre av dem misslyckas på ett sätt som ser ut som en trasig tunnel.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Nätverksadressen är den som fångar folk. Ett subnät identifieras av sin första adress, som vanligtvis slutar på noll, och att skriva in en värdadress där ger en konfiguration som ser helt trovärdig ut och aldrig ansluter. DHCP-intervallet spelar roll av en annan anledning: tunnelklienter tilldelas vanligtvis ovanför det, så ett intervall som äter upp hela subnätet lämnar ingenting att dela ut.
Överlappande subnät är den andra klassikern. Om det fjärr-LAN du ansluter till använder samma prefix som LAN:et du sitter på kan routingen inte skilja dem, och att numrera om ena sidan är den enda riktiga lösningen. Ingen mängd klientkonfiguration löser det.
Varför WireGuard misslyckas annorlunda
WireGuard har ingen fördelad nyckel att skriva fel, så dess fel samlas kring peer-definitionen i stället. En lista över tillåtna IP-adresser som utelämnar LAN-prefixet ger en tunnel som inte bär något, eftersom klienten aldrig skickar LAN-riktad trafik in i den. En gammal offentlig nyckel på endera sidan ger ett handslag som aldrig slutförs. En saknad slutpunkt eller en felaktig port ger tystnad i stället för ett fel.
Jämför båda sidor fält för fält i stället för att importera filen igen och hoppas.
Det enda gemensamma felet är subnätskollisionen. WireGuard bygger gärna en tunnel till ett nätverk som överlappar ditt lokala, och då avgör routingtabellen vilket av de två identiska prefixen som vinner.
Bevisa det utifrån och behåll sedan en väg tillbaka in
Testa från en mobilanslutning, aldrig inifrån LAN:et, för inifrån testar du en väg som inte involverar tunneln alls. Anteckna vilken port varje alternativ använder innan du aktiverar det, och vidarebefordra den porten till boxen.
Förvara den genererade filen någonstans du kommer åt utan tunneln, och anteckna samtidigt boxens externa namn.
En konfiguration som aldrig testats utifrån är en plan och inte en fungerande fjärråtkomstväg. Testa en LAN-värd på adress i stället för på namn, så att ett DNS-fel inte förväxlas med ett routingfel.