FRITZ!Box VPN LAN-LAN: perché il dispositivo non ottiene alcun IP remoto
In una VPN LAN-LAN le reti vengono unite e i dispositivi mantengono i propri indirizzi. Solo una connessione remota assegna un indirizzo dal pool remoto.
Un portatile si collega a una VPN del FRITZ!Box, raggiunge una cartella condivisa nell’altro sito e continua a mostrare il proprio indirizzo di casa in ogni strumento che provi. Poi le persone cercano un’impostazione che distribuisca un IP remoto e non la trovano mai, perché non c’è nulla da trovare. In un accoppiamento LAN-LAN due router uniscono le loro reti e ogni dispositivo mantiene l’indirizzo che aveva già. Solo una connessione remota prende in affitto un indirizzo dal pool remoto.
Il resto riguarda come distinguere questi due assetti e che cosa vede davvero il lato remoto.
Un accoppiamento unisce le reti, l’altro presta un indirizzo
Un collegamento LAN-LAN è una rotta tra due sottoreti, non una scrivania remota. Il tuo portatile invia un pacchetto a 192.168.188.40, il FRITZ!Box riconosce quella destinazione come raggiungibile dal tunnel e il pacchetto arriva con il tuo indirizzo di origine intatto. Nulla su quel percorso ha bisogno di un secondo indirizzo, e nulla ne assegna uno.
Un profilo di connessione remota si comporta come un’estensione remota del router. Al dispositivo che si collega viene dato un indirizzo dalla LAN di destinazione, ed è per questo che compare nella tabella dei lease di là. Stesso tunnel, domanda diversa: un progetto estende una rete, l’altro vi ammette un ospite.
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
Ciò che vede l’host remoto dipende dalla traduzione
Con il routing semplice la macchina remota registra il tuo vero indirizzo locale, per esempio 192.168.178.20, e la sua risposta deve tornare indietro attraverso il tunnel. Quella risposta funziona solo quando il router remoto ha una rotta per tutta la tua sottorete, che l’accoppiamento di solito installa per te.
Se invece il collegamento riscrive gli indirizzi di origine, l’host remoto vede un solo indirizzo per tutto ciò che sta dietro il tunnel: l’indirizzo LAN del router stesso. Entrambi i progetti sono legittimi, ed entrambi rendono la domanda qual è il mio IP a cui si può rispondere senza alcun rapporto con il fatto che la VPN sia attiva.
Puoi risolverlo in un minuto senza indovinare. Apri una tabella delle connessioni o un registro degli accessi su una macchina dell’altro sito mentre una richiesta è in corso, poi leggi la colonna di origine. Un indirizzo che appartiene alla sottorete mittente significa che il routing c’è; un solo indirizzo di router ripetuto significa che il collegamento traduce. Annota il risultato, perché determina se le regole di accesso remoto devono consentire una sottorete o un solo host.
Dove vivono questi valori in FRITZ!OS
In una versione attuale di FRITZ!OS la procedura guidata si trova sotto Internet, poi Freigaben, poi VPN, dietro il pulsante per una nuova connessione. La prima scelta è la forma che vuoi: un FRITZ!Box unito a un altro FRITZ!Box, o un solo computer che si collega.
- Scegli l’opzione a due router e continua.
- Nella pagina Netzwerkeinstellungen successiva, assegna un nome alla rete IPv4 remota, per esempio 192.168.188.0/24, e imposta la chiave VPN condivisa.
- Completa la procedura guidata, poi importa il file di configurazione che offre sull’altro FRITZ!Box.
Il campo della rete remota è quello che conta per questo sintomo. Dice al router quali destinazioni appartengono al lato remoto del tunnel; la chiave decide solo se il tunnel si alza o no. Una rete sbagliata lì produce silenzio, non un indirizzo.
Quando il lato remoto pretende un’identità remota
Alcuni servizi sono scritti per accettare solo clienti il cui indirizzo cade nella loro sottorete, e nessun routing li accontenterà. È una politica dalla loro parte, e la soluzione è un altro tipo di connessione invece di un’altra impostazione del tunnel.
Aggiungi un profilo di connessione remota per quell’unico dispositivo e lascia l’accoppiamento per tutto il resto. Il dispositivo allora prende in affitto un indirizzo dal pool remoto e compare nell’elenco delle connessioni del router remoto, esattamente ciò che il servizio vuole vedere. Due profili possono convivere su un router, purché ciascuno abbia la propria chiave condivisa e la propria voce di rete.
Esegui questi controlli in ordine
Prima di cambiare modalità, conferma le basi, perché un accoppiamento che non ha mai funzionato sembra identico a uno che funziona correttamente.
- Confronta i due prefissi LAN. Un accoppiamento tra due reti che usano entrambe 192.168.178.0/24 non può instradare, e la soluzione è rinumerare un lato.
- Su ogni router, leggi la panoramica VPN e conferma che la rete remota appaia come connessa.
- Da un host del sito remoto, richiedi il servizio e leggi l’indirizzo di origine che registra. È l’osservazione che risponde alla domanda originale.
Prova da un client, mai dalla pagina di ping del router stesso: il router può raggiungere destinazioni attraverso percorsi che i suoi host LAN non possono usare, quindi un ping riuscito lì non dimostra nulla sul dispositivo.
Se funzionano entrambe le direzioni e il dispositivo mostra ancora il suo indirizzo di casa, l’accoppiamento sta facendo il suo lavoro. Ricorri a un profilo di connessione remota solo quando un’identità remota è davvero richiesta, e tieni i due assetti documentati accanto al piano delle sottoreti.