Statická trasa ve FRITZ!Boxu: namiřte ji na LAN IP VPN brány

Vaše domácí LAN má FRITZ!Box jako výchozí router a vedle něj malý Linux box, který dělá VPN. Box se dostane do kancelářské sítě, ale notebook za FRITZ!Boxem ne. Statická trasa to vyřeší třemi poli a jediná skutečná obtíž je odmítnout dát do pole brány adresu tunelu. Brána je další router na vaší vlastní LAN a vždycky jím byla.

Napište tři pole dřív, než otevřete rozhraní

Vezměte LAN 192.168.50.0/24, FRITZ!Box na 192.168.50.1 a VPN box s pevnou adresou 192.168.50.2, který už má funkční chráněnou cestu do 10.40.0.0/16. Trasa říká: pro tento vzdálený prefix předejte paket zařízení na pevné LAN adrese. Veřejný endpoint vzdáleného VPN serveru i jeho vnitřní adresa tunelu jsou tu oba irelevantní, protože FRITZ!Box jim nikdy nic neposílá přímo.

Rezervujte tuto LAN adresu mimo fond DHCP, jinak bude brána, kterou jste nastavili, jednoho dne patřit telefonu.

Kde FRITZ!Box trasu drží

FRITZ! otevírá ovládání tras IPv4 v části Domácí síť, pak Síť, pak Nastavení sítě, přičemž přesný název a zanoření závisí na modelu a verzi FRITZ!OS. Zapněte rozšířené zobrazení, pokud je tabulka tras skrytá, přidejte jeden záznam s hodnotami výše a použijte. Průvodce pro váš konkrétní model stojí za pohled, protože stejná funkce se mezi verzemi už víckrát přesunula. Všimněte si přesné formulace záznamu, který ukládáte, protože záznam v tabulce málokdy řekne, která obrazovka ho vytvořila.

To není stejná funkce jako když FRITZ!Box sám ukončuje VPN. Trasa ukazuje na jiné zařízení; vestavěná VPN je to zařízení.

Brána musí směrovat, ne jen dosáhnout

Hostitel, který dosáhne na vzdálenou síť, není automaticky router pro zbytek LAN. VPN box potřebuje zapnuté IP forwarding, pravidlo firewallu, které povolí forwarding mezi LAN rozhraním a tunelem, a trasu, která pošle odpověď zpět do LAN, místo aby vyšla jeho vlastní výchozí cestou. Zapnout forwarding a zapomenout na pravidlo firewallu je nejčastější poloviční oprava a z pohledu klienta vypadá jako selhání směrování.

Ověřte to ze strany FRITZ!Boxu pingem na LAN adresu VPN boxu a pak z klienta traceroute na vzdálenou adresu a potvrzením, že druhý hop je tento box.

Zpáteční cesta a překrývající se rozsahy

Vzdálená strana potřebuje trasu pro 192.168.50.0/24 zpět tunelem, pokud záměrně nepřekládáte zdroj na VPN boxu. Zachování a překlad jsou různé politiky s různými logy a různými pravidly přístupu, a statická trasa, kterou jste právě přidali, mezi nimi nevybírá. Překrývající se rozsahy jsou těžší problém: pokud vaše LAN a vzdálená síť sdílejí prefix, jediná trasa hostitele je nerozliší a plán adres se musí změnit.

Přidání konkrétnější trasy jinde v LAN nebo druhého VPN klienta na notebooku tiše přebije záznam ve FRITZ!Boxu.

Testujte z běžného klienta, pak testujte selhání

Test spusťte z běžného oprávněného stroje v LAN, ne z VPN boxu, protože box už fungoval a nic nedokazuje. Dostáhněte vzdálené služby a zkontrolujte odpověď, pak potvrďte, že nesouvisející internetové cíle pořád jdou výchozí trasou a nejsou taženy tunelem. Nahradit výchozí trasu kvůli jedné podsíti je mnohem větší změna než záznam se třemi poli, se kterým jste začali.

Nakonec VPN odpojte a podívejte se, co se stane. Statická trasa zůstane v tabulce, i když její brána ztratila chráněnou cestu, takže provoz selže na boxu, místo aby spadl na internet, a případný požadavek blokovat záložní provoz patří do politiky samotného boxu, ne do uložené trasy.