Ruta estàtica al FRITZ!Box: apunteu-la a la IP LAN de la passarel·la VPN
El FRITZ!Box necessita el prefix remot i l'adreça LAN de la caixa VPN, no una adreça de túnel. Encertiu els tres camps i el camí de tornada.
La vostra LAN domèstica té un FRITZ!Box com a encaminador per defecte i una petita caixa Linux que fa la feina de VPN al costat. La caixa arriba a la xarxa de l'oficina, i l'ordinador portàtil darrere del FRITZ!Box no. Una ruta estàtica ho resol en tres camps, i l'única dificultat real és negar-se a posar una adreça de túnel al camp de la passarel·la. La passarel·la és l'encaminador següent de la vostra pròpia LAN, i sempre ho ha estat.
Escriviu els tres camps abans d'obrir la interfície
Preneu una LAN de 192.168.50.0/24, un FRITZ!Box a 192.168.50.1, i una caixa VPN amb una adreça fixa de 192.168.50.2 que ja té un camí protegit funcional cap a 10.40.0.0/16. La ruta diu: per a aquest prefix remot, lliureu el paquet al dispositiu de l'adreça LAN fixa. El punt final públic del servidor VPN remot i la seva adreça interna de túnel són tots dos irrellevants aquí, perquè el FRITZ!Box no hi envia mai res directament.
| Camp | Valor | Què anomena |
|---|---|---|
| Xarxa IPv4 | 10.40.0.0 | La xarxa de destinació remota |
| Màscara de subxarxa | 255.255.0.0 | Com de gran és aquesta destinació |
| Passarel·la | 192.168.50.2 | L'encaminador següent de la LAN domèstica |
Reserveu aquesta adreça LAN fora del pool DHCP, o la passarel·la que heu configurat algun dia serà d'un telèfon.
On desa el FRITZ!Box la ruta
El FRITZ! obre els controls de rutes IPv4 a Xarxa domèstica, després Xarxa, després Configuració de xarxa, amb l'etiqueta i l'encastament exactes segons el model i la versió de FRITZ!OS. Activeu la vista avançada si la taula de rutes està oculta, afegiu una entrada amb els valors de dalt i apliqueu. Val la pena fer un cop d'ull a la guia del vostre model concret, perquè la mateixa funció s'ha mogut més d'una vegada entre versions. Fixeu-vos en la redacció exacta de l'entrada que deseu, perquè una entrada de taula poques vegades diu quina pantalla l'ha produïda.
No és la mateixa funció que quan el FRITZ!Box mateix acaba un VPN. Una ruta apunta a un altre dispositiu; el VPN integrat és el dispositiu.
La passarel·la ha d'encaminar, no només arribar
Un equip que pot arribar a la xarxa remota no és automàticament un encaminador per a la resta de la LAN. La caixa VPN necessita el reenviament d'IP activat, una política de tallafocs que permeti el reenviament entre la interfície LAN i el túnel, i una ruta que torni la resposta a la LAN en lloc de sortir pel seu propi camí per defecte. Activar el reenviament i oblidar la regla del tallafocs és la mitja solució més habitual, i des del client sembla una fallada d'encaminament.
Comproveu-ho des del costat del FRITZ!Box fent ping a l'adreça LAN de la caixa VPN, i després des d'un client traçant cap a una adreça remota i confirmant que el segon salt és aquella caixa.
Camí de tornada i rangs superposats
El costat remot necessita una ruta per a 192.168.50.0/24 de tornada pel túnel, tret que traduïu deliberadament l'origen a la caixa VPN. Conservar i traduir són polítiques diferents amb registres diferents i regles d'accés diferents, i la ruta estàtica que acabeu d'afegir no tria entre elles. Els rangs superposats són un problema més difícil: si la vostra LAN i la xarxa remota comparteixen prefix, una sola ruta d'equip no les pot desambiguar, i el pla d'adreces ha de canviar.
Afegir una ruta més específica en un altre lloc de la LAN, o un segon client VPN a l'ordinador portàtil, guanyarà silenciosament a l'entrada del FRITZ!Box.
Proveu-ho des d'un client normal, i després proveu la fallada
Feu la prova des d'una màquina LAN autoritzada corrent, no des de la caixa VPN, perquè la caixa ja funcionava i no demostra res. Arribeu a un servei remot i comproveu la resposta, i després confirmeu que les destinacions d'internet no relacionades encara prenen la ruta per defecte i no són arrossegades pel túnel. Substituir la ruta per defecte per arribar a una subxarxa és un canvi molt més gran que l'entrada de tres camps amb què vau començar.
Finalment, desconnecteu el VPN i mireu què passa. La ruta estàtica es queda a la taula mentre la seva passarel·la ha perdut el camí protegit, així que el trànsit falla a la caixa en lloc de recaure a internet, i qualsevol requisit de bloquejar el trànsit de recaiguda pertany a la política de la mateixa caixa, no a una ruta desada.