Statička ruta u FRITZ!Boxu: usmjerite je na LAN IP VPN pristupnika

Vaš kućni LAN ima FRITZ!Box kao zadani ruter i malu Linux kutiju koja pored njega obavlja VPN posao. Kutija može doći do uredske mreže, a laptop iza FRITZ!Boxa ne može. Statička ruta to rješava u tri polja, a jedina prava poteškoća je odbiti da u polje pristupnika stavite adresu tunela. Pristupnik je sljedeći ruter na vašem LAN-u i to je oduvijek bio.

Zapišite tri polja prije nego otvorite sučelje

Uzmite LAN 192.168.50.0/24, FRITZ!Box na 192.168.50.1, i VPN kutiju s fiksnom adresom 192.168.50.2 koja već ima radni zaštićeni put do 10.40.0.0/16. Ruta kaže: za taj udaljeni prefiks predajte paket uređaju na fiksnoj LAN adresi. Javni endpoint udaljenog VPN servera i njegova unutrašnja adresa tunela ovdje su oba nevažni, jer FRITZ!Box im nikada ništa ne šalje izravno.

Rezervirajte tu LAN adresu izvan DHCP bazena, inače će pristupnik koji ste postavili jednog dana pripasti telefonu.

Gdje FRITZ!Box drži rutu

FRITZ! otvara kontrole IPv4 ruta pod Kućna mreža, zatim Mreža, zatim Postavke mreže, a točna oznaka i ugniježđenje zavise od modela i verzije FRITZ!OS-a. Uključite napredni prikaz ako je tablica ruta skrivena, dodajte jedan unos s gornjim vrijednostima i primijenite. Vodič za vaš konkretni model vrijedi pogledati, jer se ista funkcija više puta selila između izdanja. Zabilježite točan tekst unosa koji spremate, jer unos u tablici rijetko kaže koji ga je ekran stvorio.

Ovo nije ista funkcija kao kada FRITZ!Box sam prekida VPN. Ruta pokazuje na drugi uređaj; ugrađeni VPN jest taj uređaj.

Pristupnik mora usmjeravati, a ne samo dosezati

Host koji može doći do udaljene mreže nije automatski ruter za ostatak LAN-a. VPN kutiji treba omogućeno IP prosljeđivanje, pravilo vatrozida koje dopušta prosljeđivanje između LAN sučelja i tunela, i ruta koja odgovor vraća u LAN, a ne kroz njezin vlastiti zadani put. Uključiti prosljeđivanje i zaboraviti pravilo vatrozida najčešća je polovična popravka i s klijentove strane izgleda kao kvar usmjeravanja.

Provjerite to sa strane FRITZ!Boxa pinganjem LAN adrese VPN kutije, a zatim s klijenta tracertom do udaljene adrese i potvrdom da je drugi hop upravo ta kutija.

Povratni put i preklapajući rasponi

Udaljenoj strani treba ruta za 192.168.50.0/24 natrag kroz tunel, osim ako svjesno prevodite izvor na VPN kutiji. Zadržavanje i prevođenje su različite politike s različitim zapisima i različitim pravilima pristupa, a statička ruta koju ste upravo dodali ne bira između njih. Preklapajući rasponi teži su problem: ako vaš LAN i udaljena mreža dijele prefiks, jedna ruta hosta ne može ih razlučiti i plan adresa se mora promijeniti.

Dodavanje specifičnije rute negdje drugdje na LAN-u, ili drugog VPN klijenta na laptopu, tiho će pobijediti unos u FRITZ!Boxu.

Testirajte s normalnog klijenta, pa testirajte i kvar

Izvedite test s običnog ovlaštenog LAN računara, ne s VPN kutije, jer je kutija već radila i ništa ne dokazuje. Dođite do udaljene usluge i provjerite odgovor, zatim potvrdite da nepovezana internetska odredišta i dalje idu zadanom rutom i ne vuku se kroz tunel. Zamjena zadane rute da biste došli do jedne podmreže mnogo je veća promjena od unosa s tri polja s kojim ste počeli.

Na kraju isključite VPN i pogledajte što se događa. Statička ruta ostaje u tablici dok je njezin pristupnik izgubio zaštićeni put, pa promet pada na kutiji umjesto da se vrati na internet, a svaki zahtjev za blokiranje povratnog prometa pripada politici same kutije, a ne spremljenoj ruti.