VPN ของ FRITZ!Box เชื่อมต่อได้แต่ไม่มีอะไรตอบสนอง: WireGuard หรือ IPSec
อุโมงค์ FRITZ!Box ที่เชื่อมต่อแล้วแต่เข้าถึง LAN ไม่ได้คือปัญหาเรื่องที่อยู่ ตรวจสอบสี่ช่อง IPSec หรือ peer ของ WireGuard ก่อนนำเข้าใหม่
อุโมงค์รายงานว่าเชื่อมต่อแล้ว ไอคอนเป็นสีเขียว และไม่มีอะไรใน LAN ที่บ้านตอบสนอง นี่คือข้อร้องเรียนที่พบบ่อยที่สุดเกี่ยวกับการเข้าถึงระยะไกลของ FRITZ!Box และแทบไม่เคยเป็นที่อุโมงค์เอง แผนที่อยู่ เอกลักษณ์ของซับเน็ต หรือตารางเส้นทางของไคลเอนต์ผิด สิ่งใดที่คุณจะดีบักในที่สุดขึ้นอยู่กับว่าคุณเลือก WireGuard หรือ IPSec Fernzugang รุ่นเก่า ดังนั้นเริ่มด้วยการรู้ว่าคุณกำหนดค่าอะไรจริง ๆ
อุโมงค์ขึ้นมาแต่ LAN ยังเงียบ
อุโมงค์ที่สร้างสำเร็จพิสูจน์ว่าคีย์และปลายทางถูกต้อง แต่ไม่ได้พิสูจน์ว่า ไคลเอนต์ได้รับที่อยู่ที่กล่องสามารถกำหนดเส้นทางไปถึงได้ หรือว่าไคลเอนต์รู้ว่าคำนำหน้าใดเป็นของอุโมงค์ สิ่งเหล่านี้คือความสำเร็จสองอย่างแยกกัน และมีเพียงอย่างที่สองเท่านั้นที่ทำให้คุณเข้าถึงเครื่องพิมพ์ได้
ตรวจสอบที่อยู่ของไคลเอนต์ก่อน แล้วจึงตรวจตารางเส้นทางของมัน
หากที่อยู่ที่กำหนดให้อยู่นอกซับเน็ตของ LAN กล่องก็ไม่มีที่ให้กำหนดเส้นทางกลับ หากอยู่ภายในช่วง DHCP กล่องอาจให้ที่อยู่เดียวกันกับอุปกรณ์ในบ้าน ทั้งสองกรณีให้อุโมงค์ที่เชื่อมต่อได้และ LAN ที่เพิกเฉยต่อคุณ
แต่ละตัวเลือกกำหนดค่าอะไรจริง ๆ
ตัวเลือก IPSec สร้างไฟล์กำหนดค่าสำหรับผู้ใช้หนึ่งคน ซึ่งมีคีย์ที่แชร์ล่วงหน้าและการกำหนดที่อยู่ คุณนำเข้าไปยังไคลเอนต์ที่พูดโปรไฟล์เดียวกัน ซึ่งบน Windows มักหมายถึงเครื่องมือของผู้ผลิต ไม่ใช่ไคลเอนต์ที่มีมาในระบบ ตัวเลือก WireGuard สร้าง peer สำหรับอุปกรณ์หนึ่งเครื่อง: คู่คีย์ ที่อยู่ภายในอุโมงค์ และปลายทาง
ความแตกต่างนั้นเป็นตัวกำหนดรูปแบบการบำรุงรักษาของคุณ อุปกรณ์ WireGuard แต่ละเครื่องเป็น peer แยกที่มีคีย์ของตัวเอง ดังนั้นการเพิกถอนโทรศัพท์ที่หายไปหมายถึงการลบ peer หนึ่งตัว ในขณะที่ตัวอื่นยังทำงานต่อไป IPSec เพิกถอนโดยเปลี่ยนความลับที่แชร์หรือการกำหนดค่าของผู้ใช้ ซึ่งหยาบกว่าและกระทบทุกอุปกรณ์ที่ใช้มัน
ไม่มีตัวเลือกใดล้าสมัย เส้นทาง IPSec ยังคงเป็นเส้นทางที่รองรับในที่ที่ปลายไกลไม่สามารถรัน WireGuard ได้
ช่อง IPSec ที่ทำให้เกิดอุโมงค์ตาย
ค่าสี่ค่าต้องตรงกับ LAN ของคุณ และสามในนั้นล้มเหลวในแบบที่ดูเหมือนอุโมงค์เสีย
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
ที่อยู่เครือข่ายคือสิ่งที่หลอกคน ที่อยู่ซับเน็ตระบุด้วยที่อยู่แรก ซึ่งปกติลงท้ายด้วยศูนย์ และการใส่ที่อยู่โฮสต์ตรงนั้นจะสร้างการกำหนดค่าที่ดูสมเหตุสมผลที่สุดและไม่เคยเชื่อมต่อเลย ช่วง DHCP สำคัญด้วยเหตุผลอื่น ไคลเอนต์ของอุโมงค์มักได้รับที่อยู่เหนือช่วงนั้นขึ้นไป ช่วงที่กินซับเน็ตทั้งหมดจึงไม่เหลืออะไรให้แจก
ซับเน็ตที่ทับซ้อนกันเป็นอีกกรณีคลาสสิก หาก LAN ปลายไกลที่คุณเข้าร่วมใช้คำนำหน้าเดียวกับ LAN ที่คุณนั่งอยู่ การกำหนดเส้นทางแยกสองสิ่งนั้นไม่ได้ และการเปลี่ยนเลขฝั่งใดฝั่งหนึ่งคือทางแก้จริงเพียงทางเดียว ไม่มีการกำหนดค่าไคลเอนต์จำนวนเท่าใดที่แก้ปัญหานี้ได้
ทำไม WireGuard ล้มเหลวต่างออกไป
WireGuard ไม่มีคีย์ที่แชร์ล่วงหน้าให้พิมพ์ผิด ความล้มเหลวจึงกระจุกอยู่ที่นิยามของ peer แทน รายการ IP ที่อนุญาตซึ่งละเว้นคำนำหน้าของ LAN ให้อุโมงค์ที่ไม่บรรทุกอะไรเลย เพราะไคลเอนต์ไม่เคยส่งทราฟฟิกที่มุ่งไปยัง LAN เข้าไปข้างใน คีย์สาธารณะที่เก่าค้างฝั่งใดฝั่งหนึ่งให้แฮนด์เชกที่ไม่เคยเสร็จสมบูรณ์ ปลายทางที่หายไปหรือพอร์ตที่ผิดให้ความเงียบแทนข้อผิดพลาด
เปรียบเทียบทั้งสองฝั่งทีละช่องแทนที่จะนำเข้าไฟล์อีกครั้งแล้วหวัง
ความล้มเหลวร่วมเดียวคือการชนกันของซับเน็ต WireGuard จะสร้างอุโมงค์ไปยังเครือข่ายที่ทับซ้อนกับเครือข่ายในบ้านของคุณอย่างเต็มใจ แล้วตารางเส้นทางก็ตัดสินว่าคำนำหน้าเดียวกันสองอันใดชนะ
พิสูจน์จากภายนอก แล้วเก็บทางกลับเข้าไว้
ทดสอบจากเครือข่ายมือถือ ไม่ใช่จากภายใน LAN เด็ดขาด เพราะจากภายในคุณกำลังทดสอบเส้นทางที่ไม่เกี่ยวกับอุโมงค์เลย บันทึกว่าตัวเลือกแต่ละตัวใช้พอร์ตใดก่อนเปิดใช้งาน และส่งต่อพอร์ตนั้นไปยังกล่อง
เก็บไฟล์ที่สร้างไว้ในที่ที่คุณเข้าถึงได้โดยไม่ต้องใช้อุโมงค์ และจดชื่อภายนอกของกล่องไว้ด้วย
การกำหนดค่าที่ไม่เคยทดสอบจากภายนอกคือแผน ไม่ใช่เส้นทางการเข้าถึงระยะไกลที่ใช้งานได้ ทดสอบโฮสต์ใน LAN หนึ่งเครื่องด้วยที่อยู่ไม่ใช่ชื่อ เพื่อไม่ให้ความล้มเหลวของ DNS ถูกเข้าใจผิดว่าเป็นความล้มเหลวของการกำหนดเส้นทาง