FRITZ!Box LAN-LAN VPN: Warum Ihr Gerät keine Remote-IP bekommt
Bei einer LAN-LAN VPN werden die Netze verbunden und Geräte behalten ihre eigenen Adressen. Nur eine Einwahlverbindung weist eine Adresse aus dem entfernten Pool zu.
Ein Laptop verbindet sich mit einer FRITZ!Box VPN, erreicht eine Dateifreigabe am anderen Standort und zeigt in jedem Werkzeug, das Sie ausprobieren, weiterhin seine eigene Adresse. Dann suchen Leute nach einer Einstellung, die eine Remote-IP verteilt, und finden sie nie, denn es gibt nichts zu finden. Bei einer LAN-LAN-Kopplung verbinden zwei Router ihre Netze, und jedes Gerät behält die Adresse, die es schon hatte. Nur eine Einwahlverbindung least eine Adresse aus dem entfernten Pool.
Der Rest handelt davon, diese beiden Anordnungen zu unterscheiden und davon, was die Gegenseite tatsächlich sieht.
Eine Kopplung verbindet Netze, die andere verleiht eine Adresse
Eine LAN-LAN-Verbindung ist eine Route zwischen zwei Subnetzen, kein Remote-Desktop. Ihr Laptop schickt ein Paket an 192.168.188.40, die FRITZ!Box erkennt dieses Ziel als über den Tunnel erreichbar, und das Paket kommt mit unveränderter Quelladresse an. Nichts auf diesem Weg braucht eine zweite Adresse, und nichts weist eine zu.
Ein Einwahlprofil verhält sich wie eine entfernte Erweiterung des Routers. Das verbindende Gerät bekommt eine Adresse aus dem Ziel-LAN, deshalb erscheint es dort in der Lease-Tabelle. Derselbe Tunnel, andere Frage: Das eine Design erweitert ein Netz, das andere lässt einen Gast hinein.
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
Was der entfernte Host sieht, hängt von der Übersetzung ab
Bei einfachem Routing merkt sich die entfernte Maschine Ihre echte lokale Adresse, zum Beispiel 192.168.178.20, und ihre eigene Antwort muss durch den Tunnel zurückreisen. Diese Antwort funktioniert nur, wenn der entfernte Router eine Route für Ihr gesamtes Subnetz hat, die die Kopplung normalerweise für Sie einträgt.
Wenn die Verbindung stattdessen Quelladressen umschreibt, sieht der entfernte Host eine einzige Adresse für alles hinter dem Tunnel: die LAN-Adresse des Routers selbst. Beide Designs sind legitim, und beide machen die Frage was ist meine IP auf eine Weise beantwortbar, die nichts damit zu tun hat, ob die VPN aktiv ist.
Sie können das in einer Minute klären, ohne zu raten. Öffnen Sie auf einer Maschine am anderen Standort eine Verbindungstabelle oder ein Zugriffsprotokoll, während eine Anfrage unterwegs ist, und lesen Sie dann die Quellspalte. Eine Adresse aus dem sendenden Subnetz bedeutet, dass Routing vorhanden ist; eine einzige wiederholte Routeradresse bedeutet, dass die Verbindung übersetzt. Schreiben Sie das Ergebnis in Ihre Notizen, denn es entscheidet, ob Regeln für den Fernzugriff ein Subnetz oder einen Host zulassen müssen.
Wo diese Werte in FRITZ!OS liegen
In einer aktuellen FRITZ!OS-Version sitzt der Assistent unter Internet, dann Freigaben, dann VPN, hinter der Schaltfläche für eine neue Verbindung. Die erste Wahl ist die Form, die Sie wollen: eine FRITZ!Box, die mit einer anderen FRITZ!Box verbunden wird, oder ein einzelner Computer, der sich einwählt.
- Wählen Sie die Option mit zwei Routern und fahren Sie fort.
- Benennen Sie auf der folgenden Seite Netzwerkeinstellungen das entfernte IPv4-Netz, zum Beispiel 192.168.188.0/24, und setzen Sie den gemeinsamen VPN-Schlüssel.
- Schließen Sie den Assistenten ab und importieren Sie dann die angebotene Konfigurationsdatei auf der anderen FRITZ!Box.
Das Feld für das entfernte Netz ist das entscheidende bei diesem Symptom. Es sagt dem Router, welche Ziele auf der Gegenseite des Tunnels liegen; der Schlüssel entscheidet nur, ob der Tunnel überhaupt zustande kommt. Ein falsches Netz dort erzeugt Stille, keine Adresse.
Wenn die Gegenseite auf einer entfernten Identität besteht
Manche Dienste sind so geschrieben, dass sie nur Clients akzeptieren, deren Adresse in ihr eigenes Subnetz fällt, und kein Routing wird sie zufriedenstellen. Das ist eine Richtlinie auf ihrer Seite, und die Lösung ist ein anderer Verbindungstyp statt einer weiteren Tunneleinstellung.
Fügen Sie ein Einwahlprofil für dieses eine Gerät hinzu und lassen Sie die Kopplung für alles andere bestehen. Das Gerät least dann eine Adresse aus dem entfernten Pool und erscheint in der Verbindungsliste des entfernten Routers, genau das will der Dienst sehen. Zwei Profile können auf einem Router koexistieren, sofern jedes seinen eigenen gemeinsamen Schlüssel und seinen eigenen Netzeintrag hat.
Führen Sie diese Prüfungen der Reihe nach aus
Bevor Sie Modi ändern, bestätigen Sie die Grundlagen, denn eine Kopplung, die nie funktioniert hat, sieht genauso aus wie eine, die korrekt funktioniert.
- Vergleichen Sie die beiden LAN-Präfixe. Eine Kopplung zwischen zwei Netzen, die beide 192.168.178.0/24 verwenden, kann nicht routen, und die Lösung ist, eine Seite neu zu nummerieren.
- Lesen Sie auf jedem Router die VPN-Übersicht und bestätigen Sie, dass das entfernte Netz als verbunden erscheint.
- Fordern Sie von einem Host am entfernten Standort den Dienst an und lesen Sie die Quelladresse, die er protokolliert. Das ist die Beobachtung, die die ursprüngliche Frage beantwortet.
Testen Sie von einem Client, niemals von der Ping-Seite des Routers selbst: Der Router kann Ziele über Wege erreichen, die seine LAN-Hosts nicht nutzen können, ein erfolgreicher Ping dort beweist also nichts über das Gerät.
Wenn beide Richtungen funktionieren und das Gerät weiterhin seine eigene Adresse zeigt, tut die Kopplung ihre Arbeit. Greifen Sie nur dann zu einem Einwahlprofil, wenn eine entfernte Identität wirklich erforderlich ist, und halten Sie beide Anordnungen neben dem Subnetzplan dokumentiert.