FRITZ!Box VPN LAN-LAN: por qué tu equipo no recibe ninguna IP remota
En una VPN LAN-LAN las redes se unen y los equipos conservan sus propias direcciones. Solo una conexión por marcación asigna una dirección del pool remoto.
Un portátil se conecta a una VPN del FRITZ!Box, llega a un recurso compartido del otro sitio y sigue mostrando su dirección local en todas las herramientas que pruebes. Entonces la gente busca un ajuste que reparta una IP remota y nunca lo encuentra, porque no hay nada que encontrar. En un acoplamiento LAN-LAN dos routers unen sus redes y cada equipo conserva la dirección que ya tenía. Solo una conexión por marcación alquila una dirección del pool remoto.
El resto trata de distinguir esos dos arreglos y de lo que ve realmente el lado remoto.
Un acoplamiento une redes, el otro presta una dirección
Un enlace LAN-LAN es una ruta entre dos subredes, no un escritorio remoto. Tu portátil envía un paquete a 192.168.188.40, el FRITZ!Box reconoce ese destino como alcanzable por el túnel y el paquete llega con tu dirección de origen intacta. Nada en ese camino necesita una segunda dirección y nada asigna una.
Un perfil de marcación se comporta como una extensión remota del router. Al equipo que se conecta se le da una dirección de la LAN de destino, por eso aparece en la tabla de concesiones de allí. Mismo túnel, distinta pregunta: un diseño extiende una red, el otro admite un invitado en ella.
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
Lo que ve el host remoto depende de la traducción
Con enrutamiento simple, la máquina remota registra tu dirección local real, por ejemplo 192.168.178.20, y su propia respuesta tiene que volver por el túnel. Esa respuesta solo funciona cuando el router remoto tiene una ruta para toda tu subred, que el acoplamiento normalmente instala por ti.
Si el enlace reescribe las direcciones de origen, el host remoto ve una sola dirección para todo lo que hay detrás del túnel: la dirección LAN del propio router. Ambos diseños son legítimos y ambos hacen que la pregunta cuál es mi IP se pueda responder sin relación alguna con que la VPN esté activa.
Puedes resolverlo en un minuto sin adivinar. Abre una tabla de conexiones o un registro de acceso en una máquina del otro sitio mientras hay una petición en curso y lee la columna de origen. Una dirección que pertenece a la subred emisora significa que el enrutamiento está puesto; una sola dirección de router repetida significa que el enlace traduce. Anota el resultado, porque determina si las reglas de acceso remoto deben permitir una subred o un solo host.
Dónde viven esos valores en FRITZ!OS
En una versión actual de FRITZ!OS el asistente está en Internet, luego Freigaben, luego VPN, detrás del botón para una conexión nueva. La primera elección es la forma que quieres: un FRITZ!Box unido a otro FRITZ!Box o un solo ordenador que marca.
- Elige la opción de dos routers y continúa.
- En la siguiente página Netzwerkeinstellungen, nombra la red IPv4 remota, por ejemplo 192.168.188.0/24, y define la clave VPN compartida.
- Termina el asistente e importa después el archivo de configuración que ofrece en el otro FRITZ!Box.
El campo de red remota es el que importa para este síntoma. Le dice al router qué destinos pertenecen al lado remoto del túnel; la clave solo decide si el túnel se levanta. Una red equivocada allí produce silencio, no una dirección.
Cuando el lado remoto exige una identidad remota
Algunos servicios están escritos para aceptar solo clientes cuya dirección cae dentro de su propia subred, y ningún enrutamiento los satisfará. Es una política suya, y la solución es otro tipo de conexión en lugar de otro ajuste del túnel.
Añade un perfil de marcación para ese único equipo y deja el acoplamiento para todo lo demás. El equipo entonces alquila una dirección del pool remoto y aparece en la lista de conexiones del router remoto, que es exactamente lo que el servicio quiere ver. Dos perfiles pueden convivir en un router, siempre que cada uno tenga su propia clave compartida y su propia entrada de red.
Ejecuta estas comprobaciones en orden
Antes de cambiar de modo, confirma lo básico, porque un acoplamiento que nunca funcionó se ve idéntico a uno que funciona correctamente.
- Compara los dos prefijos LAN. Un acoplamiento entre dos redes que ambas usan 192.168.178.0/24 no puede enrutar, y la solución es renumerar un lado.
- En cada router, lee el resumen de VPN y confirma que la red remota aparece como conectada.
- Desde un host del sitio remoto, solicita el servicio y lee la dirección de origen que registra. Esa es la observación que responde a la pregunta original.
Prueba desde un cliente, nunca desde la página de ping del propio router: el router puede alcanzar destinos por caminos que sus hosts LAN no pueden usar, así que un ping correcto allí no demuestra nada sobre el equipo.
Si funcionan ambas direcciones y el equipo sigue mostrando su dirección local, el acoplamiento está haciendo su trabajo. Recurre a un perfil de marcación solo cuando de verdad se exija una identidad remota, y mantén los dos arreglos documentados junto al plan de subredes.