FRITZ!Box LAN-LAN VPN: чаму прылада не атрымлівае аддалены IP
У LAN-LAN VPN сеткі аб’ядноўваюцца, а прылады захоўваюць уласныя адрасы. Адрас з аддаленага пула выдае толькі dial-in злучэнне.
Наўтбук падключаецца да VPN на FRITZ!Box, дасягае файлавага рэсурсу на іншым сайце і ўсё яшчэ паказвае свой хатні адрас у кожным інструменце, які вы спрабуеце. Тады людзі шукаюць настройку, якая выдае аддалены IP, і ніколі яе не знаходзяць, бо няма чаго знаходзіць. У сувязі LAN-LAN два маршрутызатары аб’ядноўваюць свае сеткі, і кожная прылада захоўвае адрас, які ўжо мела. Толькі dial-in злучэнне арандуе адрас з аддаленага пула.
Астатняе — гэта пра тое, як адрозніць гэтыя два ўладкаванні, і пра тое, што на самай справе бачыць аддалены бок.
Адно злучэнне аб’ядноўвае сеткі, другое пазычае адрас
Сувязь LAN-LAN — гэта маршрут паміж дзвюма падсеткамі, а не аддалены стол. Ваш наўтбук адпраўляе пакет на 192.168.188.40, FRITZ!Box прызнае гэты пункт прызначэння дасяжным праз тунель, і пакет прыходзіць з вашым зыходным адрасам некранутым. Нішто на гэтым шляху не патрабуе другога адраса, і нішто яго не прызначае.
Профіль dial-in паводзіць сябе як аддаленае пашырэнне маршрутызатара. Прыладзе, якая падключаецца, выдаецца адрас з мэтавай LAN, таму яна з’яўляецца ў табліцы арэнды там. Той жа тунель, іншае пытанне: адзін дызайн пашырае сетку, другі ўпускае госця ў яе.
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
Што бачыць аддалены хост, залежыць ад трансляцыі
Пры звычайнай маршрутызацыі аддаленая машына запісвае ваш сапраўдны лакальны адрас, напрыклад 192.168.178.20, і яе ўласны адказ мусіць вярнуцца праз тунель. Гэты адказ працуе толькі тады, калі аддалены маршрутызатар трымае маршрут для ўсёй вашай падсеткі, які злучэнне звычайна ўсталёўвае за вас.
Калі ж сувязь перапісвае зыходныя адрасы, аддалены хост бачыць адзін адрас для ўсяго за тунелем: уласны LAN-адрас маршрутызатара. Абодва дызайны законныя, і абодва робяць пытанне які мой IP такім, на якое можна адказаць без сувязі з тым, ці ўзняты VPN.
Вы можаце вырашыць гэта за хвіліну без здагадак. Адкрыйце табліцу злучэнняў або журнал доступу на машыне на іншым сайце, пакуль запыт у шляху, затым прачытайце слупок крыніцы. Адрас, які належыць адпраўной падсетцы, значыць, што маршрутызацыя ёсць; адзін паўторны адрас маршрутызатара значыць, што сувязь транслюе. Запішыце вынік у нататкі, бо ён вызначае, ці павінны правілы аддаленага доступу дазваляць падсетку або адзін хост.
Дзе гэтыя значэнні жывуць у FRITZ!OS
У актуальным выпуску FRITZ!OS майстар знаходзіцца пад Internet, затым Freigaben, затым VPN, за кнопкай новага злучэння. Першы выбар — гэта форма, якую вы хочаце: FRITZ!Box, далучаны да іншага FRITZ!Box, або адзін камп’ютар, што далучаецца.
- Выберыце варыянт з двума маршрутызатарамі і працягніце.
- На наступнай старонцы Netzwerkeinstellungen назавіце аддаленую сетку IPv4, напрыклад 192.168.188.0/24, і задайце агульны ключ VPN.
- Скончыце майстар, затым імпартуйце файл канфігурацыі, які ён прапануе, на іншым FRITZ!Box.
Поле аддаленай сеткі — тое, што мае значэнне для гэтага сімптому. Яно кажа маршрутызатару, якія пункты прызначэння належаць да аддаленага боку тунеля; ключ вырашае толькі, ці ўзнімецца тунель наогул. Няправільная сетка там дае цішыню, а не адрас.
Калі аддалены бок патрабуе аддаленую ідэнтычнасць
Некаторыя сэрвісы напісаны так, каб прымаць толькі кліентаў, чый адрас трапляе ў іх уласную падсетку, і ніякая маршрутызацыя іх не задаволіць. Гэта палітыка на іх баку, і рашэнне — іншы тып злучэння, а не яшчэ адна настройка тунеля.
Дадайце профіль dial-in для гэтай адной прылады, а злучэнне пакіньце для ўсяго астатняга. Тады прылада арандуе адрас з аддаленага пула і з’явіцца ў спісе злучэнняў аддаленага маршрутызатара, што іменна і хоча бачыць сэрвіс. Два профілі могуць суіснаваць на адным маршрутызатары, пры ўмове, што кожны мае свой агульны ключ і свой запіс сеткі.
Выканайце гэтыя праверкі па парадку
Перш чым змяняць рэжымы, пацвердзіце асновы, бо злучэнне, якое ніколі не працавала, выглядае гэтак жа, як тое, што працуе правільна.
- Параўнайце два прэфіксы LAN. Злучэнне паміж дзвюма сеткамі, якія абедзве выкарыстоўваюць 192.168.178.0/24, не можа маршрутызаваць, і рашэнне — перанумараваць адзін бок.
- На кожным маршрутызатары прачытайце агляд VPN і пацвердзіце, што аддаленая сетка паказваецца як падключаная.
- З хоста на аддаленым сайце запытайце сэрвіс і прачытайце зыходны адрас, які ён запісвае. Гэта назіранне і адказвае на першапачатковае пытанне.
Тэстуйце з кліента, ніколі са старонкі ping самога маршрутызатара: маршрутызатар можа дасягаць пунктаў прызначэння шляхамі, якія яго LAN-хост не можа выкарыстаць, таму паспяховы ping там нічога не даказвае пра прыладу.
Калі абодва кірункі працуюць, а прылада ўсё яшчэ паказвае свой хатні адрас, злучэнне робіць сваю справу. Бярыцеся за профіль dial-in толькі тады, калі аддаленая ідэнтычнасць сапраўды патрэбная, і трымайце абодва ўладкаванні задакументаванымі побач з планам падсетак.