Rotta statica nel FRITZ!Box: puntatela all’IP LAN del gateway VPN

La vostra LAN domestica ha un FRITZ!Box come router predefinito e un piccolo box Linux che si occupa del VPN accanto. Il box raggiunge la rete dell’ufficio, il portatile dietro il FRITZ!Box no. Una rotta statica risolve il problema con tre campi, e l’unica vera difficoltà è rifiutarsi di mettere un indirizzo di tunnel nel campo gateway. Il gateway è il router successivo sulla vostra LAN, e lo è sempre stato.

Scrivete i tre campi prima di aprire l’interfaccia

Prendete una LAN 192.168.50.0/24, un FRITZ!Box su 192.168.50.1, e un box VPN con un indirizzo fisso 192.168.50.2 che ha già un percorso protetto funzionante verso 10.40.0.0/16. La rotta dice: per quel prefisso remoto, consegnate il pacchetto al dispositivo all’indirizzo LAN fisso. L’endpoint pubblico del server VPN remoto e il suo indirizzo di tunnel interno sono entrambi irrilevanti qui, perché il FRITZ!Box non invia mai nulla direttamente a loro.

Riservate quell’indirizzo LAN fuori dal pool DHCP, altrimenti il gateway configurato un giorno apparterrà a un telefono.

Dove il FRITZ!Box tiene la rotta

FRITZ! apre i controlli delle rotte IPv4 sotto Rete domestica, poi Rete, poi Impostazioni di rete, con l’etichetta e l’annidamento esatti che dipendono dal modello e dalla versione di FRITZ!OS. Attivate la vista avanzata se la tabella delle rotte è nascosta, aggiungete una voce con i valori qui sopra e applicate. Vale la pena dare un’occhiata alla guida del vostro modello specifico, perché la stessa funzione si è spostata più di una volta tra le versioni. Annotate la formulazione esatta della voce che salvate, perché una voce di tabella raramente dice quale schermata l’ha prodotta.

Non è la stessa funzione del FRITZ!Box che termina da sé un VPN. Una rotta punta a un altro dispositivo; il VPN integrato è il dispositivo.

Il gateway deve instradare, non solo raggiungere

Un host che raggiunge la rete remota non è automaticamente un router per il resto della LAN. Il box VPN ha bisogno dell’inoltro IP attivo, di una regola del firewall che consenta l’inoltro tra l’interfaccia LAN e il tunnel, e di una rotta che rimandi la risposta alla LAN invece di farla uscire dal proprio percorso predefinito. Attivare l’inoltro e dimenticare la regola del firewall è la mezza correzione più comune, e dal lato client sembra un guasto di instradamento.

Verificatelo dal lato FRITZ!Box facendo ping all’indirizzo LAN del box VPN, poi da un client tracciando verso un indirizzo remoto e confermando che il secondo hop è quel box.

Percorso di ritorno e intervalli sovrapposti

Il lato remoto ha bisogno di una rotta per 192.168.50.0/24 di ritorno attraverso il tunnel, a meno che non traduciate deliberatamente l’origine sul box VPN. Conservare e tradurre sono politiche diverse, con log diversi e regole di accesso diverse, e la rotta statica appena aggiunta non sceglie tra le due. Gli intervalli sovrapposti sono un problema più difficile: se la vostra LAN e la rete remota condividono un prefisso, una sola rotta di host non può distinguerle, e il piano degli indirizzi deve cambiare.

Aggiungere una rotta più specifica altrove nella LAN, o un secondo client VPN sul portatile, vincerà silenziosamente sulla voce del FRITZ!Box.

Provate da un client normale, poi provate il guasto

Eseguite il test da una macchina LAN autorizzata ordinaria, non dal box VPN, perché il box funzionava già e non dimostra nulla. Raggiungete un servizio remoto e controllate la risposta, poi confermate che destinazioni internet non correlate prendono ancora la rotta predefinita e non vengono trascinate nel tunnel. Sostituire la rotta predefinita per raggiungere una sottorete è un cambiamento molto più grande della voce a tre campi con cui avete iniziato.

Infine, scollegate il VPN e guardate cosa succede. La rotta statica resta nella tabella mentre il suo gateway ha perso il percorso protetto, quindi il traffico fallisce sul box invece di ricadere su internet, e qualsiasi requisito di bloccare il traffico di ripiego appartiene alla politica del box stesso, non a una rotta salvata.