Statische Route in der FRITZ!Box: auf die LAN-IP des VPN-Gateways zeigen lassen

Ihr Heim-LAN hat eine FRITZ!Box als Standardrouter und daneben eine kleine Linux-Box, die den VPN-Dienst übernimmt. Die Box erreicht das Büronetz, der Laptop hinter der FRITZ!Box nicht. Eine statische Route löst das mit drei Feldern, und die einzige echte Schwierigkeit ist, sich zu weigern, eine Tunneladresse ins Gateway-Feld zu schreiben. Das Gateway ist der nächste Router im eigenen LAN, und das war es immer.

Schreiben Sie die drei Felder auf, bevor Sie die Oberfläche öffnen

Nehmen Sie ein LAN 192.168.50.0/24, eine FRITZ!Box auf 192.168.50.1 und eine VPN-Box mit der festen Adresse 192.168.50.2, die bereits einen funktionierenden geschützten Pfad nach 10.40.0.0/16 hat. Die Route sagt: Für dieses entfernte Präfix geht das Paket an das Gerät auf der festen LAN-Adresse. Der öffentliche Endpunkt des entfernten VPN-Servers und seine innere Tunneladresse sind hier beide irrelevant, weil die FRITZ!Box dorthin nie etwas direkt schickt.

Reservieren Sie diese LAN-Adresse außerhalb des DHCP-Pools, sonst gehört das konfigurierte Gateway eines Tages einem Telefon.

Wo die FRITZ!Box die Route führt

FRITZ! öffnet die IPv4-Routensteuerung unter Heimnetz, dann Netzwerk, dann Netzwerkeinstellungen, wobei die genaue Bezeichnung und Verschachtelung von Modell und FRITZ!OS-Version abhängt. Aktivieren Sie die erweiterte Ansicht, wenn die Routentabelle verborgen ist, fügen Sie einen Eintrag mit den obigen Werten hinzu und wenden Sie ihn an. Ein Blick in die Anleitung zum eigenen Modell lohnt sich, weil dieselbe Funktion zwischen Releases mehr als einmal umgezogen ist. Achten Sie auf den genauen Wortlaut des Eintrags, den Sie speichern, denn ein Tabelleneintrag verrät selten, welcher Bildschirm ihn erzeugt hat.

Das ist nicht dieselbe Funktion, als würde die FRITZ!Box selbst ein VPN beenden. Eine Route zeigt auf ein anderes Gerät; das eingebaute VPN ist das Gerät.

Das Gateway muss routen, nicht nur erreichbar sein

Ein Host, der das entfernte Netz erreicht, ist nicht automatisch Router für den Rest des LAN. Die VPN-Box braucht aktiviertes IP-Forwarding, eine Firewall-Regel, die Weiterleitung zwischen LAN-Schnittstelle und Tunnel erlaubt, und eine Route, die die Antwort zurück ins LAN schickt statt über ihren eigenen Standardpfad. Forwarding einschalten und die Firewall-Regel vergessen ist die häufigste halbe Lösung, und aus Client-Sicht sieht es wie ein Routingfehler aus.

Prüfen Sie es von der FRITZ!Box-Seite, indem Sie die LAN-Adresse der VPN-Box anpingen, und dann von einem Client, indem Sie eine Route zu einer entfernten Adresse verfolgen und bestätigen, dass der zweite Hop diese Box ist.

Rückweg und überlappende Bereiche

Die entfernte Seite braucht eine Route für 192.168.50.0/24 zurück durch den Tunnel, sofern Sie die Quelle nicht bewusst an der VPN-Box übersetzen. Bewahren und Übersetzen sind unterschiedliche Richtlinien mit unterschiedlichen Protokollen und unterschiedlichen Zugriffsregeln, und die gerade hinzugefügte statische Route entscheidet nicht zwischen ihnen. Überlappende Bereiche sind das schwierigere Problem: Teilen Ihr LAN und das entfernte Netz ein Präfix, kann eine einzelne Host-Route sie nicht auseinanderhalten, und der Adressplan muss sich ändern.

Eine spezifischere Route anderswo im LAN oder ein zweiter VPN-Client auf dem Laptop gewinnt still gegen den Eintrag in der FRITZ!Box.

Testen Sie von einem normalen Client, dann testen Sie den Ausfall

Führen Sie den Test von einem gewöhnlichen autorisierten LAN-Rechner aus, nicht von der VPN-Box, denn die Box lief bereits und beweist nichts. Erreichen Sie einen entfernten Dienst und prüfen Sie die Antwort, und bestätigen Sie dann, dass unbeteiligte Internetziele weiterhin die Standardroute nehmen und nicht durch den Tunnel gezogen werden. Die Standardroute zu ersetzen, um ein Subnetz zu erreichen, ist eine viel größere Änderung als der Drei-Felder-Eintrag, mit dem Sie begonnen haben.

Trennen Sie schließlich das VPN und sehen Sie, was passiert. Die statische Route bleibt in der Tabelle, während ihr Gateway den geschützten Pfad verloren hat, also scheitert der Verkehr an der Box, statt ins Internet zurückzufallen, und jede Anforderung, Rückfallverkehr zu blockieren, gehört in die Richtlinie der Box selbst und nicht in eine gespeicherte Route.