FRITZ!Box LAN-LAN VPN: hvorfor enheten ikke får en ekstern IP
I en LAN-LAN VPN kobles nettverkene sammen, og enhetene beholder sine egne adresser. Bare en innringingsforbindelse deler ut en adresse fra den eksterne poolen.
En bærbar PC kobler til en FRITZ!Box VPN, når en filutveksling på det andre stedet, og viser fortsatt hjemadressen sin i hvert verktøy du prøver. Folk leter da etter en innstilling som deler ut en ekstern IP og finner den aldri, fordi det ikke er noe å finne. I en LAN-LAN-sammenkobling kobler to rutere sammen nettene sine, og hver enhet beholder adressen den allerede hadde. Bare en innringingsforbindelse leier en adresse fra den eksterne poolen.
Resten handler om å skille de to oppsettene og om hva den andre siden faktisk ser.
Den ene sammenkoblingen kobler sammen nettverk, den andre låner ut en adresse
En LAN-LAN-forbindelse er en rute mellom to subnett, ikke en ekstern skrivebord. Den bærbare PC-en sender en pakke til 192.168.188.40, FRITZ!Box gjenkjenner målet som tilgjengelig via tunnelen, og pakken ankommer med din opprinnelige kildeadresse intakt. Ingenting på den veien trenger en ekstra adresse, og ingenting tildeler en.
En innringsprofil oppfører seg som en ekstern utvidelse av ruteren. Enheten som kobler til får en adresse fra målets LAN, og derfor vises den i leietabellen der. Samme tunnel, annet spørsmål: det ene designet utvider et nettverk, det andre slipper en gjest inn i det.
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
Hva den eksterne verten ser, avhenger av oversettelse
Med vanlig ruting registrerer den eksterne maskinen din virkelige lokale adresse, for eksempel 192.168.178.20, og svaret dens må reise tilbake gjennom tunnelen. Det svaret virker bare når den eksterne ruteren har en rute for hele subnettet ditt, som sammenkoblingen vanligvis installerer for deg.
Hvis forbindelsen i stedet skriver om kildeadressene, ser den eksterne verten én adresse for alt bak tunnelen: ruterens egen LAN-adresse. Begge designene er legitime, og begge gjør spørsmålet hva er IP-en min mulig å svare på uten noen sammenheng med om VPN-en er oppe.
Du kan avgjøre det på et minutt uten å gjette. Åpne en tilkoblingstabell eller en tilgangslogg på en maskin på det andre stedet mens en forespørsel er underveis, og les kildekolonnen. En adresse som hører til subnettet som sender, betyr at ruting er på plass; én gjentatt ruteradresse betyr at forbindelsen oversetter. Skriv resultatet i notatene dine, fordi det avgjør om regler for ekstern tilgang må tillate et subnett eller én vert.
Hvor disse verdiene bor i FRITZ!OS
I en gjeldende FRITZ!OS-versjon ligger veiviseren under Internet, deretter Freigaben, deretter VPN, bak knappen for en ny tilkobling. Det første valget er formen du vil ha: en FRITZ!Box koblet til en annen FRITZ!Box, eller én enkelt datamaskin som ringer inn.
- Velg alternativet med to rutere og fortsett.
- På den neste Netzwerkeinstellungen-siden gir du det eksterne IPv4-nettet et navn, for eksempel 192.168.188.0/24, og setter den delte VPN-nøkkelen.
- Fullfør veiviseren, og importer deretter konfigurasjonsfilen den tilbyr på den andre FRITZ!Box-en.
Feltet for eksternt nettverk er det som betyr noe for dette symptomet. Det forteller ruteren hvilke mål som hører til den andre siden av tunnelen; nøkkelen avgjør bare om tunnelen kommer opp i det hele tatt. Et feil nettverk der gir stillhet, ikke en adresse.
Når den andre siden insisterer på en ekstern identitet
Noen tjenester er skrevet for å godta bare klienter med adresse innenfor sitt eget subnett, og ingen ruting vil tilfredsstille dem. Det er en policy på deres side, og løsningen er en annen tilkoblingstype i stedet for enda en tunnelinnstilling.
Legg til en innringsprofil for den ene enheten og la sammenkoblingen bli for alt annet. Enheten leier da en adresse fra den eksterne poolen og vises i tilkoblingslisten til den eksterne ruteren, som er nøyaktig det tjenesten vil se. To profiler kan eksistere side om side på én ruter, forutsatt at hver har sin egen delte nøkkel og sitt eget nettoppslag.
Kjør disse kontrollene i rekkefølge
Før du endrer modus, bekreft det grunnleggende, fordi en sammenkobling som aldri har virket ser identisk ut med en som virker riktig.
- Sammenlign de to LAN-prefiksene. En sammenkobling mellom to nettverk som begge bruker 192.168.178.0/24 kan ikke rute, og løsningen er å omnummerere den ene siden.
- På hver ruter leser du VPN-oversikten og bekrefter at det eksterne nettet vises som tilkoblet.
- Fra en vert på det eksterne stedet ber du om tjenesten og leser kildeadressen den logger. Det er observasjonen som svarer på det opprinnelige spørsmålet.
Test fra en klient, aldri fra ruterens egen ping-side: ruteren kan nå mål via veier som LAN-vertene dens ikke kan bruke, så en vellykket ping der beviser ingenting om enheten.
Hvis begge retninger virker og enheten fortsatt viser hjemadressen sin, gjør sammenkoblingen jobben sin. Grip bare etter en innringsprofil når en ekstern identitet virkelig er påkrevd, og hold de to oppsettene dokumentert ved siden av subnettplanen.