Statisk rute i FRITZ!Box: peg den på VPN-gatewayens LAN-IP

Dit hjemme-LAN har en FRITZ!Box som standardrouter og en lille Linux-boks, der passer VPN ved siden af. Boksen kan nå kontornettet, og det kan laptop'en bag FRITZ!Box ikke. En statisk rute klarer det med tre felter, og den eneste egentlige sværhed er at nægte at sætte en tunneladresse i gateway-feltet. Gatewayen er den næste router på dit eget LAN, og det har den altid været.

Skriv de tre felter, før du åbner brugerfladen

Tag et LAN på 192.168.50.0/24, en FRITZ!Box på 192.168.50.1 og en VPN-boks med fast adresse 192.168.50.2, som allerede har en fungerende beskyttet vej til 10.40.0.0/16. Ruten siger: for det eksterne præfiks skal pakken gives til enheden på den faste LAN-adresse. Den eksterne VPN-servers offentlige endpoint og dens indre tunneladresse er begge irrelevante her, fordi FRITZ!Box aldrig sender noget direkte til dem.

Reservér den LAN-adresse uden for DHCP-puljen, ellers vil den gateway, du har konfigureret, en dag tilhøre en telefon.

Hvor FRITZ!Box gemmer ruten

FRITZ! åbner IPv4-rutekontrollen under Hjemmenetværk, derefter Netværk, derefter Netværksindstillinger, og den præcise etiket og indlejring afhænger af model og FRITZ!OS-version. Slå den udvidede visning til, hvis rutetabellen er skjult, tilføj én post med værdierne ovenfor, og anvend. Vejledningen til din specifikke model er et kig værd, fordi samme funktion er flyttet mellem udgivelser mere end én gang. Læg mærke til den præcise ordlyd af den post, du gemmer, fordi en tabelpost sjældent fortæller, hvilken skærm der lavede den.

Det er ikke samme funktion som når FRITZ!Box selv afslutter en VPN. En rute peger på en anden enhed; den indbyggede VPN er enheden.

Gatewayen skal route, ikke bare nå

En vært, der kan nå det eksterne netværk, er ikke automatisk router for resten af LAN'et. VPN-boksen skal have IP-forwarding slået til, en firewallpolitik der tillader forwarding mellem LAN-interfacet og tunnelen, og en rute der sender svaret tilbage til LAN'et i stedet for ud ad dens egen standardvej. At slå forwarding til og glemme firewallreglen er den mest almindelige halve løsning, og det ligner en rutefejl fra klientens side.

Kontroller det fra FRITZ!Box-siden ved at pinge VPN-boksens LAN-adresse, og derefter fra en klient ved at traceroute til en ekstern adresse og bekræfte, at andet hop er den boks.

Returvej og overlappende områder

Den eksterne side har brug for en rute til 192.168.50.0/24 tilbage gennem tunnelen, medmindre du bevidst oversætter kilden på VPN-boksen. At bevare og at oversætte er forskellige politikker med forskellige logs og forskellige adgangsregler, og den statiske rute, du netop har tilføjet, vælger ikke mellem dem. Overlappende områder er et sværere problem: hvis dit LAN og det eksterne netværk deler et præfiks, kan en enkelt værtsrute ikke skelne dem, og adresseplanen skal ændres.

At tilføje en mere specifik rute et andet sted på LAN'et, eller en anden VPN-klient på laptop'en, vil stille vinde over posten i FRITZ!Box.

Test fra en normal klient, og test så fejlen

Kør testen fra en almindelig autoriseret LAN-maskine, ikke fra VPN-boksen, fordi boksen allerede virkede og ikke beviser noget. Nå en ekstern tjeneste og kontroller svaret, og bekræft derefter, at uvedkommende internetdestinationer stadig tager standardruten og ikke bliver trukket gennem tunnelen. At erstatte standardruten for at nå et enkelt undernet er en meget større ændring end den trefelts-post, du startede med.

Til sidst skal du afbryde VPN'en og se, hvad der sker. Den statiske rute bliver i tabellen, mens dens gateway har mistet den beskyttede vej, så trafikken fejler ved boksen i stedet for at falde tilbage til internettet, og ethvert krav om at blokere fallback-trafik hører i boksens egen politik, ikke i en gemt rute.