Ruta estática no FRITZ!Box: apúntea ao IP LAN da pasarela VPN

A súa LAN doméstica ten un FRITZ!Box como router predeterminado e unha pequena caixa Linux que fai as veces de VPN ao seu lado. A caixa chega á rede da oficina, e o portátil detrás do FRITZ!Box non. Unha ruta estática arranxa iso con tres campos, e a única dificultade real é negarse a poñer un enderezo de túnel no campo da pasarela. A pasarela é o seguinte router da súa propia LAN, e sempre o foi.

Escriba os tres campos antes de abrir a interface

Tome unha LAN 192.168.50.0/24, un FRITZ!Box en 192.168.50.1 e unha caixa VPN cun enderezo fixo 192.168.50.2 que xa ten unha ruta protexida funcionando cara a 10.40.0.0/16. A ruta di: para ese prefixo remoto, entregue o paquete ao dispositivo no enderezo LAN fixo. O endpoint público do servidor VPN remoto e o seu enderezo de túnel interno son ambos irrelevantes aquí, porque o FRITZ!Box nunca lles envía nada directamente.

Reserve ese enderezo LAN fóra do grupo DHCP, ou a pasarela que configurou algún día será dun teléfono.

Onde garda o FRITZ!Box a ruta

FRITZ! abre os controis de rutas IPv4 en Rede doméstica, logo Rede, logo Axustes de rede, coa etiqueta e o aniñamento exactos segundo o modelo e a versión de FRITZ!OS. Active a vista avanzada se a táboa de rutas está oculta, engada unha entrada cos valores anteriores e aplique. Paga a pena botar unha ollada á guía do seu modelo concreto, porque a mesma función moveuse entre versións máis dunha vez. Fixe a redacción exacta da entrada que garda, porque unha entrada de táboa raramente lle di que pantalla a xerou.

Esta non é a mesma función que cando o FRITZ!Box remata un VPN por si mesmo. Unha ruta apunta a outro dispositivo; o VPN integrado é o dispositivo.

A pasarela ten que encamiñar, non só chegar

Un host que chega á rede remota non é automaticamente un router para o resto da LAN. A caixa VPN precisa o reenvío de IP activado, unha política de firewall que permita o reenvío entre a interface LAN e o túnel, e unha ruta que devolva a resposta á LAN en lugar de saír pola súa propia ruta predeterminada. Activar o reenvío e esquecer a regra do firewall é a media solución máis habitual, e desde o cliente parece un fallo de encamiñamento.

Compróbeo desde o lado do FRITZ!Box facendo ping ao enderezo LAN da caixa VPN, e logo desde un cliente trazando a ruta a un enderezo remoto e confirmando que o segundo salto é esa caixa.

Ruta de volta e rangos solapados

O lado remoto necesita unha ruta para 192.168.50.0/24 de volta polo túnel, salvo que traduza deliberadamente a orixe na caixa VPN. Conservar e traducir son políticas distintas con rexistros distintos e regras de acceso distintas, e a ruta estática que acaba de engadir non escolle entre elas. Os rangos solapados son un problema máis difícil: se a súa LAN e a rede remota comparten prefixo, unha soa ruta de host non pode desambigualas, e o plan de enderezos ten que cambiar.

Engadir unha ruta máis específica noutro punto da LAN, ou un segundo cliente VPN no portátil, gañará en silencio á entrada do FRITZ!Box.

Probe desde un cliente normal e logo probe o fallo

Faga a proba desde unha máquina LAN autorizada corrente, non desde a caixa VPN, porque a caixa xa funcionaba e non demostra nada. Chegue a un servizo remoto e comprobe a resposta, e logo confirme que os destinos de internet non relacionados seguen tomando a ruta predeterminada e non son arrastrados polo túnel. Substituír a ruta predeterminada para chegar a unha subrede é un cambio moito maior que a entrada de tres campos coa que empezou.

Por último, desconecte o VPN e vexa que pasa. A ruta estática queda na táboa mentres a súa pasarela perdeu a ruta protexida, así que o tráfico falla na caixa en lugar de caer a internet, e calquera requisito de bloquear o tráfico de reserva pertence á política da propia caixa, non a unha ruta gardada.