Статичен маршрут във FRITZ!Box: насочете го към LAN IP на VPN шлюза

Домашната ви LAN има FRITZ!Box като рутер по подразбиране и малка Linux кутия до него, която върши работата по VPN. Кутията достига офис мрежата, а лаптопът зад FRITZ!Box — не. Статичният маршрут решава това с три полета и единствената истинска трудност е да откажете да сложите адрес на тунел в полето за шлюз. Шлюзът е следващият рутер във вашата LAN и винаги е бил такъв.

Запишете трите полета, преди да отворите интерфейса

Вземете LAN 192.168.50.0/24, FRITZ!Box на 192.168.50.1, и VPN кутия с фиксиран адрес 192.168.50.2, която вече има работещ защитен път до 10.40.0.0/16. Маршрутът казва: за този отдалечен префикс предайте пакета на устройството на фиксирания LAN адрес. Публичният endpoint на отдалечения VPN сървър и вътрешният му адрес на тунела са и двата без значение тук, защото FRITZ!Box никога не изпраща нищо до тях директно.

Резервирайте този LAN адрес извън DHCP пула, иначе шлюзът, който сте настроили, един ден ще принадлежи на телефон.

Къде FRITZ!Box държи маршрута

FRITZ! отваря контролите за IPv4 маршрути под Домашна мрежа, след това Мрежа, след това Настройки на мрежата, като точният етикет и влагане зависят от модела и версията на FRITZ!OS. Включете разширения изглед, ако таблицата с маршрути е скрита, добавете един запис със стойностите по-горе и приложете. Ръководството за вашия конкретен модел си заслужава един поглед, защото същата функция се е местила между изданията повече от веднъж. Отбележете точната формулировка на записа, който запазвате, защото запис в таблица рядко ви казва кой екран го е създал.

Това не е същата функция като FRITZ!Box сам да прекратява VPN. Маршрутът сочи към друго устройство; вградената VPN е самото устройство.

Шлюзът трябва да маршрутизира, не само да достига

Хост, който достига отдалечената мрежа, не е автоматично рутер за останалата част от LAN. VPN кутията се нуждае от включено IP препращане, политика на защитната стена, която разрешава препращане между LAN интерфейса и тунела, и маршрут, който връща отговора към LAN, а не през собствения му път по подразбиране. Включването на препращането и забравянето на правилото на защитната стена е най-често срещаната половин поправка и от страна на клиента изглежда като отказ на маршрутизацията.

Проверете го от страната на FRITZ!Box, като пингнете LAN адреса на VPN кутията, а след това от клиент, като проследите до отдалечен адрес и потвърдите, че вторият хоп е тази кутия.

Път за връщане и припокриващи се диапазони

Отдалечената страна се нуждае от маршрут за 192.168.50.0/24 обратно през тунела, освен ако умишлено не транслирате източника във VPN кутията. Запазването и транслирането са различни политики с различни журнали и различни правила за достъп, а статичният маршрут, който току-що добавихте, не избира между тях. Припокриващите се диапазони са по-труден проблем: ако вашата LAN и отдалечената мрежа споделят префикс, един маршрут за хост не може да ги различи и планът на адресите трябва да се промени.

Добавянето на по-конкретен маршрут другаде в LAN или на втори VPN клиент на лаптопа тихо ще победи записа във FRITZ!Box.

Тествайте от нормален клиент, после тествайте отказа

Пуснете теста от обикновена оторизирана машина в LAN, не от VPN кутията, защото кутията вече работеше и не доказва нищо. Достигнете отдалечена услуга и проверете отговора, после потвърдете, че несвързани интернет дестинации все още минават по маршрута по подразбиране и не се влачат през тунела. Смяната на маршрута по подразбиране, за да стигнете до една подмрежа, е много по-голяма промяна от записа с три полета, с който започнахте.

Накрая изключете VPN и вижте какво става. Статичният маршрут остава в таблицата, докато шлюзът му е загубил защитния път, така че трафикът се проваля в кутията, вместо да падне към интернет, и всяко изискване да блокирате резервния трафик принадлежи на политиката на самата кутия, а не на запазен маршрут.