FRITZ!Box LAN-LAN VPN: защо устройството не получава отдалечен IP
При LAN-LAN VPN мрежите се обединяват и устройствата запазват собствените си адреси. Само dial-in връзката отпуска адрес от отдалечения пул.
Лаптоп се свързва с VPN на FRITZ!Box, достига до файлов ресурс на другия сайт и все още показва домашния си адрес във всеки инструмент, който опитате. Тогава хората търсят настройка, която раздава отдалечен IP, и никога не я намират, защото няма какво да се намери. При LAN-LAN свързване два рутера обединяват мрежите си и всяко устройство запазва адреса, който вече е имало. Само dial-in връзката наема адрес от отдалечения пул.
Останалото е за това как да различим тези две подредби и какво всъщност вижда далечната страна.
Едното свързване обединява мрежи, другото дава адрес назаем
LAN-LAN връзката е маршрут между две подмрежи, а не отдалечено бюро. Лаптопът ви изпраща пакет до 192.168.188.40, FRITZ!Box разпознава тази дестинация като достижима през тунела и пакетът пристига с непокътнат оригинален адрес на източника. Нищо по този път не се нуждае от втори адрес и нищо не назначава такъв.
Профилът за dial-in се държи като отдалечено разширение на рутера. Свързващото устройство получава адрес от целевата LAN и затова се появява в таблицата за наем там. Същият тунел, различен въпрос: един дизайн разширява мрежа, другият допуска гост в нея.
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
Какво вижда далечният хост зависи от транслацията
При обикновено маршрутизиране отдалечената машина записва истинския ви локален адрес, например 192.168.178.20, и собственият ѝ отговор трябва да се върне през тунела. Този отговор работи само когато отдалеченият рутер има маршрут за цялата ви подмрежа, който свързването обикновено инсталира вместо вас.
Ако връзката вместо това пренаписва адресите на източника, далечният хост вижда един адрес за всичко зад тунела: собствения LAN адрес на рутера. И двата дизайна са законни и двата правят въпроса какъв е моят IP отговорим по начин, който няма нищо общо с това дали VPN е вдигнат.
Можете да го решите за минута без догадки. Отворете таблица на връзките или журнал за достъп на машина на другия сайт, докато заявка е в ход, после прочетете колоната за източник. Адрес, който принадлежи на изпращащата подмрежа, означава, че маршрутизирането е налице; един повтарящ се адрес на рутера означава, че връзката транслира. Запишете резултата в бележките си, защото той определя дали правилата за отдалечен достъп трябва да разрешават подмрежа или един хост.
Къде живеят тези стойности във FRITZ!OS
В актуална версия на FRITZ!OS съветникът е под Internet, после Freigaben, после VPN, зад бутона за нова връзка. Първият избор е формата, която искате: FRITZ!Box, свързан с друг FRITZ!Box, или един компютър, който се включва.
- Изберете опцията с два рутера и продължете.
- На следващата страница Netzwerkeinstellungen именувайте отдалечената IPv4 мрежа, например 192.168.188.0/24, и задайте споделения VPN ключ.
- Завършете съветника, после импортирайте конфигурационния файл, който той предлага, на другия FRITZ!Box.
Полето за отдалечена мрежа е това, което има значение за този симптом. То казва на рутера кои дестинации принадлежат на далечната страна на тунела; ключът решава само дали тунелът ще се вдигне изобщо. Грешна мрежа там дава тишина, не адрес.
Когато далечната страна настоява за отдалечена идентичност
Някои услуги са написани да приемат само клиенти, чийто адрес попада в собствената им подмрежа, и никакво маршрутизиране няма да ги задоволи. Това е политика от тяхна страна и решението е различен тип връзка, а не още една настройка на тунела.
Добавете dial-in профил за това едно устройство и оставете свързването за всичко останало. Тогава устройството наема адрес от отдалечения пул и се появява в списъка с връзки на отдалечения рутер, което е точно това, което услугата иска да види. Два профила могат да съществуват на един рутер, стига всеки да има свой споделен ключ и свой запис за мрежа.
Изпълнете тези проверки по ред
Преди да сменяте режими, потвърдете основите, защото връзка, която никога не е работила, изглежда идентична на такава, която работи правилно.
- Сравнете двата LAN префикса. Свързване между две мрежи, които и двете използват 192.168.178.0/24, не може да маршрутизира и решението е да преномерирате едната страна.
- На всеки рутер прочетете прегледа на VPN и потвърдете, че отдалечената мрежа се показва като свързана.
- От хост на далечния сайт заявете услугата и прочетете адреса на източника, който тя записва. Това е наблюдението, което отговаря на първоначалния въпрос.
Тествайте от клиент, никога от собствената ping страница на рутера: рутерът може да достига дестинации по пътища, които неговите LAN хостове не могат да използват, така че успешен ping там не доказва нищо за устройството.
Ако и двете посоки работят и устройството все още показва домашния си адрес, свързването си върши работата. Прибягвайте до dial-in профил само когато отдалечена идентичност наистина е нужна, и дръжте двете подредби документирани до плана на подмрежите.