VPN của FRITZ!Box kết nối nhưng không gì trả lời: WireGuard hay IPSec
Một đường hầm FRITZ!Box đã kết nối mà không tới được LAN là vấn đề địa chỉ. Hãy kiểm tra bốn trường IPSec hoặc peer WireGuard trước khi nhập lại.
Đường hầm báo đã kết nối, biểu tượng màu xanh, và không gì trên LAN trong nhà trả lời. Đó là phàn nàn phổ biến nhất về truy cập từ xa của FRITZ!Box, và hầu như không bao giờ là bản thân đường hầm. Sơ đồ địa chỉ, danh tính của mạng con hoặc bảng định tuyến của máy khách là sai. Việc bạn sẽ gỡ lỗi mục nào trong số đó tùy thuộc vào việc bạn chọn WireGuard hay IPSec Fernzugang cũ hơn, nên hãy bắt đầu bằng việc biết mình đã cấu hình cái nào.
Đường hầm dựng lên và LAN vẫn im lặng
Một đường hầm được thiết lập chứng minh rằng khóa và điểm cuối là đúng. Nó không chứng minh rằng máy khách đã nhận được một địa chỉ mà hộp có thể định tuyến tới, cũng không chứng minh rằng máy khách biết những tiền tố nào thuộc về đường hầm. Đó là hai thành công riêng biệt, và chỉ cái thứ hai mới cho phép bạn tới được máy in.
Hãy kiểm tra địa chỉ của máy khách trước, rồi đến bảng định tuyến của nó.
Nếu địa chỉ được cấp nằm ngoài mạng con của LAN, hộp không có gì để định tuyến ngược lại. Nếu nó nằm trong dải DHCP, hộp có thể cấp cùng địa chỉ đó cho một thiết bị nội bộ. Cả hai đều tạo ra một đường hầm kết nối được và một LAN phớt lờ bạn.
Mỗi tùy chọn thực sự cấu hình điều gì
Tùy chọn IPSec tạo một tệp cấu hình cho một người dùng, chứa khóa chia sẻ trước và phần địa chỉ. Bạn nhập nó vào một máy khách nói cùng cấu hình đó, mà trên Windows thường có nghĩa là công cụ của nhà sản xuất chứ không phải máy khách tích hợp. Tùy chọn WireGuard tạo một peer cho một thiết bị: một cặp khóa, một địa chỉ bên trong đường hầm và một điểm cuối.
Sự khác biệt đó quyết định mô hình bảo trì của bạn. Mỗi thiết bị WireGuard là một peer riêng với khóa riêng, nên thu hồi một chiếc điện thoại bị mất nghĩa là xóa một peer trong khi những cái khác vẫn chạy. IPSec thu hồi bằng cách đổi bí mật chia sẻ hoặc cấu hình của người dùng, cách này thô hơn và ảnh hưởng tới mọi thiết bị dùng nó.
Không tùy chọn nào lỗi thời. Đường IPSec vẫn là đường được hỗ trợ ở nơi đầu xa không chạy được WireGuard.
Những trường IPSec tạo ra đường hầm chết
Bốn giá trị phải khớp với LAN của bạn, và ba trong số đó thất bại theo cách trông như đường hầm hỏng.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Chính địa chỉ mạng là thứ đánh lừa mọi người. Một mạng con được nhận diện bằng địa chỉ đầu tiên của nó, thường kết thúc bằng số không, và nhập một địa chỉ máy chủ vào đó tạo ra cấu hình trông hoàn toàn hợp lý và không bao giờ kết nối. Dải DHCP quan trọng vì lý do khác: máy khách của đường hầm thường được cấp phía trên dải đó, nên một dải ăn hết cả mạng con thì không còn gì để phát.
Các mạng con chồng lấn là trường hợp kinh điển còn lại. Nếu LAN từ xa mà bạn tham gia dùng cùng tiền tố với LAN bạn đang ngồi, định tuyến không thể phân biệt hai mạng, và đánh số lại một bên là cách sửa thật sự duy nhất. Không lượng cấu hình máy khách nào giải quyết được điều đó.
Vì sao WireGuard thất bại theo cách khác
WireGuard không có khóa chia sẻ trước để gõ sai, nên các lỗi của nó tập trung quanh định nghĩa peer. Một danh sách IP được phép bỏ sót tiền tố của LAN tạo ra đường hầm không chở gì, vì máy khách không bao giờ gửi lưu lượng hướng tới LAN vào trong đó. Một khóa công khai cũ ở bên này hay bên kia tạo ra một lần bắt tay không bao giờ hoàn tất. Thiếu điểm cuối hoặc sai cổng tạo ra sự im lặng thay vì lỗi.
Hãy so sánh hai bên theo từng trường thay vì nhập lại tệp và hy vọng.
Lỗi chung duy nhất là xung đột mạng con. WireGuard sẵn lòng dựng một đường hầm tới mạng chồng lấn với mạng nội bộ của bạn, rồi bảng định tuyến quyết định tiền tố nào trong hai tiền tố giống nhau sẽ thắng.
Hãy chứng minh điều đó từ bên ngoài, rồi giữ một đường quay vào
Hãy thử từ kết nối di động, đừng bao giờ từ bên trong LAN, vì từ bên trong bạn đang thử một đường không hề liên quan tới đường hầm. Ghi lại mỗi tùy chọn dùng cổng nào trước khi bật nó, và chuyển tiếp cổng đó tới hộp.
Hãy giữ tệp được tạo ở nơi bạn tới được mà không cần đường hầm, và tiện thể ghi lại tên bên ngoài của hộp.
Một cấu hình chưa từng được thử từ bên ngoài là một kế hoạch, không phải một đường truy cập từ xa đang chạy. Hãy thử một máy chủ trong LAN theo địa chỉ chứ không theo tên, để một lỗi DNS không bị nhầm với lỗi định tuyến.