Статычны маршрут у FRITZ!Box: накіруйце яго на LAN-адрас VPN-шлюза
FRITZ!Box патрэбны аддалены прэфікс і LAN-адрас VPN-скрыні, а не адрас тунеля. Наладзьце тры палі і зваротны шлях.
У вашай хатняй LAN маршрутызатарам па змаўчанні працуе FRITZ!Box, а побач невялікая Linux-скрыня выконвае абавязкі VPN. Скрыня дасягае сеткі офіса, а ноўтбук за FRITZ!Box — не. Статычны маршрут вырашае гэта трыма палямі, і адзіная сапраўдная складанасць — адмовіцца ўпісваць адрас тунеля ў поле шлюза. Шлюз — гэта наступны маршрутызатар у вашай жа LAN, і ён заўсёды ім быў.
Запішыце тры палі да адкрыцця інтэрфейсу
Вазьміце LAN 192.168.50.0/24, FRITZ!Box на 192.168.50.1, і VPN-скрыню з фіксаваным адрасам 192.168.50.2, якая ўжо мае працоўны абаронены шлях да 10.40.0.0/16. Маршрут кажа: для гэтага аддаленага прэфікса перадайце пакет прыладзе на фіксаваным LAN-адрасе. Публічны endpoint аддаленага VPN-сервера і яго ўнутраны адрас тунеля тут абодва не маюць значэння, бо FRITZ!Box ніколі нічога ім напрамую не дасылае.
| Поле | Значэнне | Што яно называе |
|---|---|---|
| Сетка IPv4 | 10.40.0.0 | Аддаленая сетка прызначэння |
| Маска падсеткі | 255.255.0.0 | Які памер гэтай мэты |
| Шлюз | 192.168.50.2 | Наступны маршрутызатар у хатняй LAN |
Зарэзервуйце гэты LAN-адрас па-за пулам DHCP, інакш шлюз, які вы наладзілі, аднойчы дастанецца тэлефону.
Дзе FRITZ!Box захоўвае маршрут
FRITZ! адкрывае кіраванне маршрутамі IPv4 у раздзеле Хатняя сетка, затым Сетка, затым Налады сеткі; дакладная назва і ўкладанне залежаць ад мадэлі і версіі FRITZ!OS. Уключыце пашыраны выгляд, калі табліца маршрутаў схаваная, дадайце адзін запіс са значэннямі вышэй і прымяніце. Варта зірнуць у кіраўніцтва для вашай мадэлі, бо тая ж функцыя не раз пераязджала паміж выпускамі. Заўважце дакладную фармулёўку запісу, які захоўваеце, бо запіс у табліцы рэдка кажа, які экран яго стварыў.
Гэта не тая ж функцыя, калі FRITZ!Box сам завяршае VPN. Маршрут паказвае на іншую прыладу; убудаваны VPN — гэта сама прылада.
Шлюз павінен маршрутызаваць, а не проста дасягаць
Хост, які дасягае аддаленай сеткі, не становіцца аўтаматычна маршрутызатарам для астатняй LAN. VPN-скрыні трэба ўключыць IP-перанакіраванне, палітыку файрвола, якая дазваляе перанакіраванне паміж LAN-інтэрфейсам і тунелем, і маршрут, які вяртае адказ у LAN, а не праз яго ўласны шлях па змаўчанні. Уключыць перанакіраванне і забыцца на правіла файрвола — самая распаўсюджаная паловаправа, і з боку кліента яна выглядае як збой маршрутызацыі.
Праверце гэта з боку FRITZ!Box, пінгаваўшы LAN-адрас VPN-скрыні, а затым з боку кліента, прасачыўшы маршрут да аддаленага адраса і пераканаўшыся, што другі хоп — гэтая скрыня.
Зваротны шлях і перасечаныя дыяпазоны
Аддаленаму боку патрэбны маршрут для 192.168.50.0/24 назад праз тунель, калі вы наўмысна не транслюеце крыніцу на VPN-скрыні. Захаванне і трансляцыя — розныя палітыкі з рознымі журналамі і рознымі правіламі доступу, і статычны маршрут, які вы толькі што дадалі, не выбірае паміж імі. Перасечаныя дыяпазоны — складанейшая праблема: калі ваша LAN і аддаленая сетка дзеляць прэфікс, адзін маршрут хоста не можа іх развесці, і план адрасоў трэба змяніць.
Даданне больш дакладнага маршруту ў іншым месцы LAN або другога VPN-кліента на ноўтбуку ціха пераможа запіс FRITZ!Box.
Праверце са звычайнага кліента, потым праверце збой
Праводзьце тэст са звычайнай дазволенай машыны ў LAN, а не з VPN-скрыні, бо скрыня ўжо працавала і нічога не даказвае. Дасягніце аддаленага сэрвісу і праверце адказ, затым пераканайцеся, што непавязаныя інтэрнэт-мэты па-ранейшаму ідуць па маршруце па змаўчанні і не цягнуцца праз тунель. Замена маршруту па змаўчанні дзеля адной падсеткі — значна большая змена, чым запіс з трох палёў, з якога вы пачалі.
Нарэшце, адключыце VPN і паглядзіце, што адбудзецца. Статычны маршрут застаецца ў табліцы, хаця яго шлюз страціў абаронены шлях, таму трафік збаіць на скрыні, а не вернецца ў інтэрнэт, і любое патрабаванне блакаваць зваротны трафік належыць палітыцы самой скрыні, а не захаванаму маршруту.