FRITZ!Box LAN-LAN VPN: デバイスにリモート IP が割り当てられない理由
LAN-LAN VPN ではネットワーク同士が接続され、デバイスは自分のアドレスを保ちます。リモート側のプールからアドレスを配るのはダイヤルイン接続だけです。
ノート PC が FRITZ!Box の VPN に接続し、もう一方の拠点のファイル共有に届いても、試すどのツールでも自分の自宅アドレスが表示されたままです。そこで人はリモート IP を配る設定を探しますが見つかりません、探すものが存在しないからです。LAN-LAN 接続では二台のルーターがネットワークを接続し、各デバイスはすでに持っているアドレスを保ちます。リモート側のプールからアドレスを借りるのはダイヤルイン接続だけです。
ここからは、この二つの構成をどう見分けるか、そして遠い側が実際に何を見るかについてです。
一方はネットワークをつなぎ、もう一方はアドレスを貸す
LAN-LAN リンクは二つのサブネット間のルートであり、リモートデスクトップではありません。ノート PC は 192.168.188.40 にパケットを送り、FRITZ!Box はその宛先がトンネル経由で到達可能だと認識し、パケットは元の送信元アドレスのまま届きます。その経路のどこにも二つ目のアドレスは必要なく、誰も割り当てません。
ダイヤルイン プロファイルはルーターのリモート拡張のように振る舞います。接続するデバイスには接続先 LAN のアドレスが与えられるため、そちらのリース一覧に現れます。同じトンネルでも問いが違います——一方はネットワークを拡張し、もう一方はゲストを中に入れます。
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
遠いホストに何が見えるかはアドレス変換で決まる
通常のルーティングでは、遠いマシンはあなたの実際のローカルアドレス（たとえば 192.168.178.20）を記録し、その返信はトンネルを通って戻ってくる必要があります。その返信が機能するのは、遠いルーターがサブネット全体へのルートを持っている場合だけで、通常はこの接続がそれを設定してくれます。
リンクが代わりに送信元アドレスを書き換える場合、遠いホストにはトンネルの向こう側すべてが一つのアドレスに見えます——ルーター自身の LAN アドレスです。どちらの設計も正当であり、どちらも「自分の IP は何か」という問いに VPN が上がっているかとは無関係に答えられるようにします。
推測せずに一分で確かめられます。リクエストが飛んでいる間に、もう一方の拠点のマシンで接続テーブルやアクセスログを開き、送信元の列を読みます。送信側サブネットのアドレスならルーティングがあり、一つのルーターアドレスが繰り返されていればリンクが変換しています。結果をメモに書き留めてください、リモートアクセスの規則がサブネットを許可すべきか一台のホストを許可すべきかを決めるからです。
これらの値は FRITZ!OS のどこにあるか
現在の FRITZ!OS では、ウィザードは Internet、次に Freigaben、次に VPN の下、新しい接続のボタンの奥にあります。最初の選択は、別の FRITZ!Box と接続する FRITZ!Box か、ダイヤルインする一台のコンピューターかです。
- 二台のルーターのオプションを選んで続行します。
- 次の Netzwerkeinstellungen ページで、リモート IPv4 ネットワーク（たとえば 192.168.188.0/24）に名前を付け、共有 VPN キーを設定します。
- ウィザードを終えたら、提示される構成ファイルをもう一方の FRITZ!Box にインポートします。
この症状で重要なのはリモートネットワークの項目です。どの宛先がトンネルの向こう側に属するかをルーターに伝え、キーはトンネルがそもそも上がるかどうかだけを決めます。そこが間違ったネットワークだと、アドレスではなく沈黙が返ります。
遠い側がリモートの身元を要求する場合
一部のサービスは、自分のサブネット内のアドレスを持つクライアントしか受け付けないように書かれており、どんなルーティングでも満足させられません。それは相手側の方針であり、解決策は別のトンネル設定ではなく別の接続タイプです。
その一台のデバイス用にダイヤルイン プロファイルを追加し、それ以外は接続をそのままにします。するとデバイスはリモート側のプールからアドレスを借り、遠いルーターの接続一覧に現れ、これはまさにサービスが見たいものです。一台のルーターに二つのプロファイルを共存させられますが、それぞれに独自の共有キーとネットワーク項目が必要です。
これらの確認を順番に行います
モードを変える前に基本を確認してください、なぜなら 一度も動いたことのない接続は、正しく動いている接続とまったく同じに見えるからです。
- 二つの LAN プレフィックスを比べます。両方が 192.168.178.0/24 を使う二つのネットワーク間の接続はルーティングできず、解決策は片側の番号を振り直すことです。
- 各ルーターで VPN の概要を読み、リモートネットワークが接続済みとして表示されることを確認します。
- 遠い拠点のホストからサービスを要求し、記録される送信元アドレスを読みます。これが最初の問いに答える観察です。
ルーター自身の ping ページからではなく必ずクライアントから試してください、ルーターは LAN のホストが使えない経路で宛先に届くことがあるため、そこでの ping の成功はデバイスについて何も証明しません。
両方向が機能し、それでもデバイスが自宅アドレスを表示するなら、接続は役割を果たしています。リモートの身元が本当に必要なときだけダイヤルイン プロファイルに頼り、二つの構成をサブネット計画のそばに記録しておいてください。