FRITZ!Box VPN LAN-LAN : pourquoi votre appareil n’obtient aucune IP distante
Dans un VPN LAN-LAN, les réseaux sont réunis et les appareils conservent leurs propres adresses. Seule une connexion par numérotation attribue une adresse issue du pool distant.
Un ordinateur portable se connecte à un VPN FRITZ!Box, atteint un partage de fichiers sur l’autre site et affiche toujours son adresse d’origine dans chaque outil que vous essayez. Les gens cherchent alors un réglage qui distribue une IP distante et ne le trouvent jamais, car il n’y a rien à trouver. Dans un couplage LAN-LAN, deux routeurs réunissent leurs réseaux et chaque appareil conserve l’adresse qu’il avait déjà. Seule une connexion par numérotation loue une adresse dans le pool distant.
Le reste explique comment distinguer ces deux montages et ce que voit réellement le site distant.
Un couplage réunit des réseaux, l’autre prête une adresse
Une liaison LAN-LAN est une route entre deux sous-réseaux, pas un bureau distant. Votre portable envoie un paquet vers 192.168.188.40, la FRITZ!Box reconnaît cette destination comme joignable par le tunnel, et le paquet arrive avec votre adresse source d’origine intacte. Rien sur ce chemin n’a besoin d’une seconde adresse, et rien n’en attribue une.
Un profil de numérotation se comporte comme une extension distante du routeur. L’appareil qui se connecte reçoit une adresse du LAN cible, c’est pourquoi il apparaît dans la table des baux de ce côté. Même tunnel, autre question : une conception étend un réseau, l’autre y admet un invité.
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
Ce que voit l’hôte distant dépend de la traduction
Avec un routage simple, la machine distante enregistre votre adresse locale réelle, par exemple 192.168.178.20, et sa propre réponse doit revenir par le tunnel. Cette réponse ne fonctionne que si le routeur distant possède une route pour tout votre sous-réseau, que le couplage installe normalement pour vous.
Si la liaison réécrit plutôt les adresses source, l’hôte distant ne voit qu’une seule adresse pour tout ce qui se trouve derrière le tunnel : l’adresse LAN du routeur lui-même. Les deux conceptions sont légitimes, et toutes deux permettent de répondre à la question quelle est mon IP d’une manière qui n’a rien à voir avec le fait que le VPN soit actif.
Vous pouvez trancher en une minute sans deviner. Ouvrez une table de connexions ou un journal d’accès sur une machine de l’autre site pendant qu’une requête est en cours, puis lisez la colonne source. Une adresse appartenant au sous-réseau émetteur signifie que le routage est en place ; une seule adresse de routeur répétée signifie que la liaison traduit. Notez le résultat, car il détermine si les règles d’accès distant doivent autoriser un sous-réseau ou un seul hôte.
Où vivent ces valeurs dans FRITZ!OS
Sur une version actuelle de FRITZ!OS, l’assistant se trouve sous Internet, puis Freigaben, puis VPN, derrière le bouton d’une nouvelle connexion. Le premier choix est la forme voulue : une FRITZ!Box reliée à une autre FRITZ!Box, ou un seul ordinateur qui se connecte.
- Choisissez l’option à deux routeurs et continuez.
- Sur la page Netzwerkeinstellungen suivante, nommez le réseau IPv4 distant, par exemple 192.168.188.0/24, et définissez la clé VPN partagée.
- Terminez l’assistant, puis importez le fichier de configuration qu’il propose sur l’autre FRITZ!Box.
Le champ du réseau distant est celui qui compte pour ce symptôme. Il indique au routeur quelles destinations appartiennent à l’autre côté du tunnel ; la clé décide seulement si le tunnel monte ou non. Un mauvais réseau à cet endroit produit du silence, pas une adresse.
Quand le site distant exige une identité distante
Certains services sont écrits pour n’accepter que les clients dont l’adresse tombe dans leur propre sous-réseau, et aucun routage ne les satisfera. C’est une politique de leur côté, et la solution est un autre type de connexion plutôt qu’un réglage de tunnel supplémentaire.
Ajoutez un profil de numérotation pour ce seul appareil et laissez le couplage pour tout le reste. L’appareil loue alors une adresse dans le pool distant et apparaît dans la liste des connexions du routeur distant, exactement ce que le service veut voir. Deux profils peuvent coexister sur un routeur, à condition que chacun ait sa propre clé partagée et sa propre entrée réseau.
Effectuez ces vérifications dans l’ordre
Avant de changer de mode, confirmez les bases, car un couplage qui n’a jamais fonctionné ressemble à un couplage qui fonctionne correctement.
- Comparez les deux préfixes LAN. Un couplage entre deux réseaux qui utilisent tous deux 192.168.178.0/24 ne peut pas router, et la solution est de renuméroter un côté.
- Sur chaque routeur, lisez la vue d’ensemble du VPN et confirmez que le réseau distant apparaît comme connecté.
- Depuis un hôte du site distant, demandez le service et lisez l’adresse source qu’il journalise. C’est l’observation qui répond à la question d’origine.
Testez depuis un client, jamais depuis la page de ping du routeur lui-même : le routeur peut atteindre des destinations par des chemins que ses hôtes LAN ne peuvent pas utiliser, donc un ping réussi là-bas ne prouve rien sur l’appareil.
Si les deux directions fonctionnent et que l’appareil affiche toujours son adresse d’origine, le couplage fait son travail. Recourez à un profil de numérotation uniquement lorsqu’une identité distante est vraiment requise, et gardez les deux montages documentés à côté du plan de sous-réseaux.