FRITZ!Box LAN-LAN VPN: waarom je apparaat geen remote IP krijgt
Bij een LAN-LAN VPN worden de netwerken samengevoegd en apparaten behouden hun eigen adressen. Alleen een inbelverbinding deelt een adres uit uit de externe pool.
Een laptop maakt verbinding met een FRITZ!Box VPN, bereikt een bestandsshare op de andere locatie en toont in elk hulpmiddel dat je probeert nog steeds zijn thuisadres. Mensen zoeken dan naar een instelling die een remote IP uitdeelt en vinden die nooit, omdat er niets te vinden is. Bij een LAN-LAN-koppeling verbinden twee routers hun netwerken en elk apparaat behoudt het adres dat het al had. Alleen een inbelverbinding huurt een adres uit de externe pool.
De rest gaat over het onderscheiden van die twee opstellingen en over wat de andere kant werkelijk ziet.
De ene koppeling verbindt netwerken, de andere leent een adres uit
Een LAN-LAN-verbinding is een route tussen twee subnetten, geen extern bureaublad. Je laptop stuurt een pakket naar 192.168.188.40, de FRITZ!Box herkent die bestemming als bereikbaar via de tunnel, en het pakket komt aan met je oorspronkelijke bronadres intact. Niets op dat pad heeft een tweede adres nodig, en niets deelt er een uit.
Een inbelprofiel gedraagt zich als een externe uitbreiding van de router. Het verbindende apparaat krijgt een adres uit het doellAN, daarom verschijnt het in de leasetabel daar. Dezelfde tunnel, andere vraag: het ene ontwerp breidt een netwerk uit, het andere laat een gast binnen.
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
Wat de externe host ziet, hangt af van vertaling
Bij gewone routing registreert de externe machine je echte lokale adres, bijvoorbeeld 192.168.178.20, en het eigen antwoord moet via de tunnel terugreizen. Dat antwoord werkt alleen als de externe router een route voor je hele subnet heeft, die de koppeling normaal voor je installeert.
Als de verbinding in plaats daarvan bronadressen herschrijft, ziet de externe host één adres voor alles achter de tunnel: het LAN-adres van de router zelf. Beide ontwerpen zijn legitiem, en beide maken de vraag wat is mijn IP beantwoordbaar zonder enig verband met of de VPN aan staat.
Je kunt het in een minuut beslechten zonder te gokken. Open een verbindingstabel of een toegangslog op een machine op de andere locatie terwijl een verzoek onderweg is, en lees dan de bronkolom. Een adres dat bij het verzendende subnet hoort, betekent dat routing aanwezig is; één herhaald routeradres betekent dat de verbinding vertaalt. Schrijf het resultaat in je notities, want het bepaalt of regels voor externe toegang een subnet of één host moeten toestaan.
Waar die waarden in FRITZ!OS leven
In een actuele FRITZ!OS-versie zit de wizard onder Internet, dan Freigaben, dan VPN, achter de knop voor een nieuwe verbinding. De eerste keuze is de vorm die je wilt: een FRITZ!Box gekoppeld aan een andere FRITZ!Box, of één computer die inbelt.
- Kies de optie met twee routers en ga verder.
- Op de volgende pagina Netzwerkeinstellungen benoem je het externe IPv4-netwerk, bijvoorbeeld 192.168.188.0/24, en stel je de gedeelde VPN-sleutel in.
- Rond de wizard af en importeer daarna het configuratiebestand dat hij aanbiedt op de andere FRITZ!Box.
Het veld voor het externe netwerk is het veld dat bij dit symptoom telt. Het vertelt de router welke bestemmingen aan de andere kant van de tunnel horen; de sleutel bepaalt alleen of de tunnel überhaupt tot stand komt. Een verkeerd netwerk daar levert stilte op, geen adres.
Wanneer de andere kant op een externe identiteit staat
Sommige diensten zijn geschreven om alleen clients te accepteren waarvan het adres binnen hun eigen subnet valt, en geen enkele routing zal ze tevredenstellen. Dat is beleid aan hun kant, en de oplossing is een ander verbindingstype in plaats van nog een tunnelinstelling.
Voeg een inbelprofiel toe voor dat ene apparaat en laat de koppeling staan voor al het andere. Het apparaat huurt dan een adres uit de externe pool en verschijnt in de verbindingslijst van de externe router, precies wat de dienst wil zien. Twee profielen kunnen naast elkaar bestaan op één router, mits elk zijn eigen gedeelde sleutel en zijn eigen netwerkinvoer heeft.
Voer deze controles in volgorde uit
Voordat je van modus wisselt, bevestig je de basis, want een koppeling die nooit werkte ziet er identiek uit aan een die correct werkt.
- Vergelijk de twee LAN-prefixen. Een koppeling tussen twee netwerken die beide 192.168.178.0/24 gebruiken kan niet routeren, en de oplossing is één kant opnieuw nummeren.
- Lees op elke router het VPN-overzicht en bevestig dat het externe netwerk als verbonden verschijnt.
- Vraag vanaf een host op de externe locatie de dienst op en lees het bronadres dat hij logt. Dat is de observatie die de oorspronkelijke vraag beantwoordt.
Test vanaf een client, nooit vanaf de ping-pagina van de router zelf: de router kan bestemmingen bereiken via paden die zijn LAN-hosts niet kunnen gebruiken, dus een geslaagde ping daar bewijst niets over het apparaat.
Als beide richtingen werken en het apparaat toont nog steeds zijn thuisadres, doet de koppeling zijn werk. Grijp alleen naar een inbelprofiel wanneer een externe identiteit echt vereist is, en houd de twee opstellingen gedocumenteerd naast het subnetplan.