FRITZ!Box VPN ulanadi, ammo hech narsa javob bermaydi: WireGuard yoki IPSec
LAN’ga yetib bormaydigan ulangan FRITZ!Box tunneli manzillash muammosidir. Qayta import qilishdan oldin to‘rtta IPSec maydonini yoki WireGuard peer’ini tekshiring.
Tunnel ulanganini bildiradi, belgisi yashil, ammo uy LAN’ida hech narsa javob bermaydi. Bu FRITZ!Box masofaviy kirishi haqidagi eng keng tarqalgan shikoyat bo‘lib, deyarli hech qachon tunnelning o‘zi aybdor emas. Manzillar rejasi, ichki tarmoq identifikatori yoki mijozning marshrut jadvali noto‘g‘ri. Ulardan qaysi birini oxir-oqibat tuzatishingiz WireGuard yoki eskiroq IPSec Fernzugang tanlaganingizga bog‘liq, shuning uchun avval nimani sozlaganingizni bilishdan boshlang.
Tunnel ko‘tariladi, LAN esa jim qoladi
O‘rnatilgan tunnel kalitlar va oxirgi nuqta to‘g‘ri ekanini isbotlaydi. Ammo u quyidagini isbotlamaydi: mijoz quti marshrutlay oladigan manzil oldimi, yoki mijoz qaysi prefikslar tunnelga tegishli ekanini biladimi. Bular ikki alohida muvaffaqiyat, va faqat ikkinchisi printerga yetib borishga imkon beradi.
Avval mijozning manzilini, keyin uning marshrut jadvalini tekshiring.
Agar berilgan manzil LAN ichki tarmog‘idan tashqarida bo‘lsa, qutining orqaga marshrutlaydigan joyi yo‘q. Agar u DHCP oralig‘i ichida bo‘lsa, quti xuddi shu manzilni mahalliy qurilmaga berishi mumkin. Ikkalasi ham ulanadigan tunnel va sizni e’tiborsiz qoldiradigan LAN hosil qiladi.
Har bir variant aslida nimani sozlaydi
IPSec varianti bitta foydalanuvchi uchun konfiguratsiya faylini yaratadi, unda oldindan bo‘lishilgan kalit va manzillash bor. Uni xuddi shu profilni gapiradigan mijozga import qilasiz, Windows’da bu odatda ishlab chiqaruvchining vositasi, ichki mijoz emas. WireGuard varianti bitta qurilma uchun peer yaratadi: kalitlar jufti, tunnel ichidagi manzil va oxirgi nuqta.
Bu farq sizning xizmat ko‘rsatish modelingizni belgilaydi. Har bir WireGuard qurilmasi o‘z kaliti bilan alohida peer, shuning uchun yo‘qolgan telefonni bekor qilish bitta peerni o‘chirish demak, qolganlari ishlashda davom etadi. IPSec umumiy sirni yoki foydalanuvchi konfiguratsiyasini o‘zgartirib bekor qiladi, bu qo‘polroq va undan foydalanadigan har bir qurilmaga ta’sir qiladi.
Hech bir variant eskirgan emas. Uzoq tomon WireGuard ishga tushira olmaydigan joyda IPSec yo‘li qo‘llab-quvvatlanadigan yo‘l bo‘lib qoladi.
O‘lik tunnel hosil qiladigan IPSec maydonlari
To‘rtta qiymat LAN’ingizga mos kelishi kerak, va ulardan uchtasi buzilgan tunnelga o‘xshab ko‘rinadigan tarzda muvaffaqiyatsiz bo‘ladi.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Odamlarni aynan tarmoq manzili ushlab qoladi. Ichki tarmoq o‘zining birinchi manzili bilan aniqlanadi, u odatda nol bilan tugaydi, va u yerga xost manzilini kiritish butunlay ishonchli ko‘rinadigan va hech qachon ulanmaydigan konfiguratsiya hosil qiladi. DHCP oralig‘i boshqa sababga ko‘ra muhim: tunnel mijozlariga odatda uning ustidan beriladi, shuning uchun butun ichki tarmoqni yeb qo‘yadigan oraliq tarqatishga hech narsa qoldirmaydi.
Bir-birining ustiga tushadigan ichki tarmoqlar boshqa klassik holat. Agar siz qo‘shilayotgan uzoq LAN siz o‘tirgan LAN bilan bir xil prefiksdan foydalansa, marshrutlash ikkalasini ajrata olmaydi, va bir tomonni qayta raqamlash yagona haqiqiy yechimdir. Hech qanday mijoz konfiguratsiyasi buni hal qilmaydi.
Nega WireGuard boshqacha muvaffaqiyatsiz bo‘ladi
WireGuard’da xato terish mumkin bo‘lgan oldindan bo‘lishilgan kalit yo‘q, shuning uchun uning xatolari peer ta’rifi atrofida to‘planadi. LAN prefiksini tushirib qoldiradigan ruxsat etilgan IP ro‘yxati hech narsa tashimaydigan tunnel hosil qiladi, chunki mijoz LAN tomon yo‘naltirilgan trafikni hech qachon unga yubormaydi. Ikkala tomondagi eskirgan ochiq kalit hech qachon tugamaydigan qo‘l siqish hosil qiladi. Oxirgi nuqta yo‘qligi yoki noto‘g‘ri port xato emas, sukunat hosil qiladi.
Faylni qayta import qilib umid qilish o‘rniga ikkala tomonni maydon-ma’don solishtiring.
Yagona umumiy nosozlik — ichki tarmoqlar to‘qnashuvi. WireGuard sizning mahalliy tarmog‘ingiz bilan ustma-ust tushadigan tarmoqqa bemalol tunnel quradi, keyin marshrut jadvali ikkita bir xil prefiksdan qaysi biri yutishini hal qiladi.
Buni tashqaridan isbotlang, keyin ichkariga qaytish yo‘lini saqlang
Mobil aloqadan sinab ko‘ring, hech qachon LAN ichidan emas, chunki ichkaridan tunnelga umuman aloqasi bo‘lmagan yo‘lni sinaysiz. Har bir variant qaysi portdan foydalanishini yoqishdan oldin yozib qo‘ying va o‘sha portni qutiga yo‘naltiring.
Yaratilgan faylni tunnelsiz yetib boradigan joyda saqlang va shu bilan birga qutining tashqi nomini ham yozib qo‘ying.
Tashqaridan hech qachon sinalmagan konfiguratsiya reja, ishlaydigan masofaviy kirish yo‘li emas. Bitta LAN xostni nom bilan emas, manzil bilan sinang, DNS nosozligi marshrutlash nosozligi bilan aralashtirilmasin.