VPN на FRITZ!Box підключається, але ніхто не відповідає: WireGuard чи IPSec
Підключений тунель FRITZ!Box, який не доходить до LAN, — це проблема адресації. Перевірте чотири поля IPSec або peer WireGuard перед повторним імпортом.
Тунель повідомляє, що підключено, значок зелений, а в домашній LAN ніхто не відповідає. Це найпоширеніша скарга щодо віддаленого доступу FRITZ!Box, і майже ніколи не винен сам тунель. Неправильні план адрес, ідентичність підмережі або таблиця маршрутизації клієнта. Що саме ви будете налагоджувати, залежить від того, обрали ви WireGuard чи старіший IPSec Fernzugang, тому почніть із розуміння того, що ви насправді налаштували.
Тунель піднімається, а LAN мовчить
Встановлений тунель доводить, що ключі та кінцева точка правильні. Але він не доводить, що клієнт отримав адресу, на яку коробка вміє маршрутизувати, і не доводить, що клієнт знає, які префікси належать тунелю. Це два різні успіхи, і лише другий дає змогу дістатися до принтера.
Спочатку перевірте адресу клієнта, потім його таблицю маршрутизації.
Якщо видана адреса лежить поза підмережею LAN, коробці нема куди маршрутизувати назад. Якщо вона лежить усередині діапазону DHCP, коробка може видати ту саму адресу локальному пристрою. І те й те дає тунель, який підключається, і LAN, яка вас ігнорує.
Що насправді налаштовує кожен варіант
Варіант IPSec створює файл конфігурації для одного користувача, що містить попередньо спільний ключ і адресацію. Ви імпортуєте його в клієнт, який розмовляє тим самим профілем, а у Windows це зазвичай інструмент виробника, а не вбудований клієнт. Варіант WireGuard створює peer для одного пристрою: пару ключів, адресу всередині тунелю та кінцеву точку.
Ця різниця визначає вашу модель обслуговування. Кожен пристрій WireGuard — окремий peer зі своїм ключем, тому відкликання загубленого телефона означає видалення одного peer, поки інші продовжують працювати. IPSec відкликає, змінюючи спільний секрет або конфігурацію користувача, що грубіше і зачіпає кожен пристрій, який його використовує.
Жоден варіант не застарів. Шлях через IPSec залишається підтримуваним там, де віддалена сторона не може запускати WireGuard.
Поля IPSec, які дають мертвий тунель
Чотири значення мають збігатися з вашою LAN, і три з них відмовляють так, що це виглядає як зламаний тунель.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Саме мережева адреса найчастіше й плутає людей. Підмережа визначається своєю першою адресою, яка зазвичай закінчується нулем, і введення адреси хоста в це поле дає конфігурацію, яка виглядає цілком правдоподібно і ніколи не підключається. Діапазон DHCP важливий з іншої причини: клієнтам тунелю зазвичай видають адреси вище нього, тому діапазон, що з’їдає всю підмережу, не залишає нічого для роздачі.
Підмережі, що перекриваються, — другий класичний випадок. Якщо віддалена LAN, до якої ви приєднуєтеся, використовує той самий префікс, що й LAN, на якій ви сидите, маршрутизація не може їх розрізнити, і перенумерація однієї сторони — єдине справжнє рішення. Жодна кількість клієнтської конфігурації цього не вирішує.
Чому WireGuard відмовляє інакше
У WireGuard немає попередньо спільного ключа, який можна надрукувати з помилкою, тому його відмови групуються навколо визначення peer. Список дозволених IP, у якому пропущено префікс LAN, дає тунель, що нічого не несе, бо клієнт ніколи не надсилає в нього трафік, спрямований у LAN. Застарілий відкритий ключ на будь-якій стороні дає рукостискання, яке ніколи не завершується. Відсутня кінцева точка або неправильний порт дають тишу замість помилки.
Порівняйте обидві сторони поле за полем, замість того щоб імпортувати файл знову й сподіватися.
Єдина спільна відмова — зіткнення підмереж. WireGuard охоче збудує тунель до мережі, яка перекривається з вашою локальною, і тоді таблиця маршрутизації вирішує, який із двох однакових префіксів переможе.
Доведіть це ззовні, а потім залиште шлях назад усередину
Перевіряйте з мобільного підключення, ніколи зсередини LAN, бо зсередини ви перевіряєте шлях, який узагалі не задіює тунель. Запишіть, який порт використовує кожен варіант, перш ніж увімкнути його, і переадресуйте цей порт на коробку.
Тримайте створений файл там, куди ви потрапляєте без тунелю, і заодно запишіть зовнішнє ім’я коробки.
Конфігурація, яку жодного разу не перевіряли ззовні, — це план, а не робочий шлях віддаленого доступу. Перевіряйте один хост LAN за адресою, а не за іменем, щоб відмову DNS не сприйняли за відмову маршрутизації.