Ruta estática en el FRITZ!Box: apúntela a la IP LAN de la puerta de enlace VPN

Su LAN doméstica tiene un FRITZ!Box como router predeterminado y una pequeña caja Linux que hace las veces de VPN junto a él. La caja llega a la red de la oficina, y el portátil detrás del FRITZ!Box no. Una ruta estática lo arregla con tres campos, y la única dificultad real es negarse a poner una dirección de túnel en el campo de puerta de enlace. La puerta de enlace es el siguiente router de su propia LAN, y siempre lo fue.

Escriba los tres campos antes de abrir la interfaz

Tome una LAN 192.168.50.0/24, un FRITZ!Box en 192.168.50.1 y una caja VPN con una dirección fija 192.168.50.2 que ya tiene una ruta protegida funcionando hacia 10.40.0.0/16. La ruta dice: para ese prefijo remoto, entregue el paquete al dispositivo en la dirección LAN fija. El endpoint público del servidor VPN remoto y su dirección de túnel interna son ambos irrelevantes aquí, porque el FRITZ!Box nunca les envía nada directamente.

Reserve esa dirección LAN fuera del grupo DHCP, o la puerta de enlace que configuró algún día pertenecerá a un teléfono.

Dónde guarda el FRITZ!Box la ruta

FRITZ! abre los controles de rutas IPv4 en Red doméstica, luego Red, luego Ajustes de red, con la etiqueta y el anidamiento exactos según el modelo y la versión de FRITZ!OS. Active la vista avanzada si la tabla de rutas está oculta, añada una entrada con los valores anteriores y aplique. Merece la pena echar un vistazo a la guía de su modelo concreto, porque la misma función se ha movido entre versiones más de una vez. Fíjese en la redacción exacta de la entrada que guarda, porque una entrada de tabla rara vez le dice qué pantalla la generó.

Esta no es la misma función que cuando el FRITZ!Box termina un VPN por sí mismo. Una ruta apunta a otro dispositivo; el VPN integrado es el dispositivo.

La puerta de enlace tiene que enrutar, no solo llegar

Un host que llega a la red remota no es automáticamente un router para el resto de la LAN. La caja VPN necesita el reenvío de IP activado, una política de firewall que permita el reenvío entre la interfaz LAN y el túnel, y una ruta que devuelva la respuesta a la LAN en lugar de salir por su propia ruta predeterminada. Activar el reenvío y olvidar la regla del firewall es la media solución más habitual, y desde el cliente parece un fallo de enrutamiento.

Compruébelo desde el lado del FRITZ!Box haciendo ping a la dirección LAN de la caja VPN, y luego desde un cliente trazando la ruta a una dirección remota y confirmando que el segundo salto es esa caja.

Ruta de vuelta y rangos superpuestos

El lado remoto necesita una ruta para 192.168.50.0/24 de vuelta por el túnel, salvo que traduzca deliberadamente el origen en la caja VPN. Conservar y traducir son políticas distintas con registros distintos y reglas de acceso distintas, y la ruta estática que acaba de añadir no elige entre ellas. Los rangos superpuestos son un problema más difícil: si su LAN y la red remota comparten prefijo, una sola ruta de host no puede desambiguarlas, y el plan de direcciones tiene que cambiar.

Añadir una ruta más específica en otro punto de la LAN, o un segundo cliente VPN en el portátil, ganará en silencio a la entrada del FRITZ!Box.

Pruebe desde un cliente normal y luego pruebe el fallo

Haga la prueba desde una máquina LAN autorizada corriente, no desde la caja VPN, porque la caja ya funcionaba y no demuestra nada. Llegue a un servicio remoto y compruebe la respuesta, y luego confirme que los destinos de internet no relacionados siguen tomando la ruta predeterminada y no son arrastrados por el túnel. Sustituir la ruta predeterminada para llegar a una subred es un cambio mucho mayor que la entrada de tres campos con la que empezó.

Por último, desconecte el VPN y vea qué pasa. La ruta estática se queda en la tabla mientras su puerta de enlace ha perdido la ruta protegida, así que el tráfico falla en la caja en lugar de caer a internet, y cualquier requisito de bloquear el tráfico de reserva pertenece a la política de la propia caja, no a una ruta guardada.