FRITZ!Box VPN bağlanıyor ama hiçbir şey yanıt vermiyor: WireGuard mi IPSec mi
LAN’a ulaşamayan bağlı bir FRITZ!Box tüneli adresleme sorunudur. Yeniden içe aktarmadan önce dört IPSec alanını veya WireGuard peer’ını kontrol edin.
Tünel bağlı olduğunu bildiriyor, simge yeşil ve evdeki LAN’da hiçbir şey yanıt vermiyor. Bu, FRITZ!Box uzaktan erişimiyle ilgili en yaygın şikâyettir ve neredeyse hiçbir zaman tünelin kendisi değildir. Adres planı, alt ağın kimliği veya istemcinin yönlendirme tablosu yanlıştır. Hangisini en sonunda ayıklayacağınız, WireGuard’ı mı yoksa daha eski IPSec Fernzugang’ı mı seçtiğinize bağlıdır, bu yüzden gerçekte neyi yapılandırdığınızı bilerek başlayın.
Tünel kalkıyor ve LAN sessiz kalıyor
Kurulan bir tünel, anahtarların ve uç noktanın doğru olduğunu kanıtlar. Ama şunu kanıtlamaz: istemciye kutunun yönlendirebileceği bir adres verildiğini, ya da istemcinin hangi öneklerin tünele ait olduğunu bildiğini. Bunlar iki ayrı başarıdır ve yalnızca ikincisi bir yazıcıya ulaşmanızı sağlar.
Önce istemcinin adresini, sonra yönlendirme tablosunu kontrol edin.
Atanan adres LAN alt ağının dışındaysa kutunun geri yönlendireceği bir yer yoktur. DHCP aralığının içindeyse kutu aynı adresi yerel bir cihaza verebilir. İkisi de bağlanan bir tünel ve sizi görmezden gelen bir LAN üretir.
Her seçenek gerçekte neyi yapılandırır
IPSec seçeneği tek bir kullanıcı için yapılandırma dosyası üretir; içinde önceden paylaşılan anahtar ve adresleme vardır. Onu aynı profili konuşan bir istemciye aktarırsınız; Windows’ta bu genellikle yerleşik istemci değil üreticinin aracı anlamına gelir. WireGuard seçeneği tek bir cihaz için peer üretir: bir anahtar çifti, tünelin içinde bir adres ve bir uç nokta.
Bu fark bakım modelinizi belirler. Her WireGuard cihazı kendi anahtarına sahip ayrı bir peer’dır, bu yüzden kayıp bir telefonu iptal etmek bir peer’ı silmek demektir ve diğerleri çalışmaya devam eder. IPSec iptali paylaşılan sırrı veya kullanıcı yapılandırmasını değiştirerek yapar; bu daha kabadır ve onu kullanan her cihazı etkiler.
Seçeneklerin hiçbiri eskimiş değil. Karşı tarafın WireGuard çalıştıramadığı her yerde IPSec yolu desteklenen yol olarak kalır.
Ölü tünel üreten IPSec alanları
Dört değer LAN’ınızla uyuşmalıdır ve bunlardan üçü bozuk bir tünel gibi görünen biçimde başarısız olur.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
İnsanları yakalayan ağ adresidir. Bir alt ağ, genellikle sıfırla biten ilk adresiyle tanımlanır ve oraya bir ana bilgisayar adresi girmek tamamen inandırıcı görünen ama asla bağlanmayan bir yapılandırma üretir. DHCP aralığı başka bir nedenle önemlidir: tünel istemcileri genellikle onun üstünden atanır, bu yüzden tüm alt ağı tüketen bir aralık dağıtacak bir şey bırakmaz.
Çakışan alt ağlar diğer klasik durumdur. Katıldığınız uzak LAN, üzerinde oturduğunuz LAN ile aynı öneki kullanıyorsa yönlendirme ikisini ayırt edemez ve gerçek tek çözüm bir tarafı yeniden numaralandırmaktır. Hiçbir istemci yapılandırması bunu çözmez.
WireGuard neden farklı başarısız olur
WireGuard’da yanlış yazılabilecek önceden paylaşılan bir anahtar yoktur, bu yüzden hataları peer tanımının etrafında toplanır. LAN önekini atlayan izin verilen IP listesi hiçbir şey taşımayan bir tünel üretir, çünkü istemci LAN’a yönelen trafiği asla içine göndermez. Her iki tarafta eski bir genel anahtar asla tamamlanmayan bir el sıkışma üretir. Eksik bir uç nokta veya yanlış bağlantı noktası hata yerine sessizlik üretir.
Dosyayı yeniden içe aktarıp ummak yerine iki tarafı alan alan karşılaştırın.
Tek ortak arıza alt ağ çakışmasıdır. WireGuard yerel ağınızla çakışan bir ağa memnuniyetle tünel kurar, sonra iki özdeş önekten hangisinin kazanacağına yönlendirme tablosu karar verir.
Bunu dışarıdan kanıtlayın, sonra içeri dönüş yolunu koruyun
Mobil bağlantıdan test edin, asla LAN’ın içinden değil, çünkü içeriden tüneli hiç ilgilendirmeyen bir yolu test ediyorsunuz. Her seçeneğin hangi bağlantı noktasını kullandığını etkinleştirmeden önce not edin ve o bağlantı noktasını kutuya yönlendirin.
Üretilen dosyayı tünel olmadan ulaşabildiğiniz bir yerde saklayın ve bu arada kutunun dış adını da not edin.
Hiç dışarıdan test edilmemiş bir yapılandırma plandır, çalışan bir uzaktan erişim yolu değildir. Bir LAN ana bilgisayarını adla değil adresle test edin, böylece DNS arızası yönlendirme arızasıyla karıştırılmasın.