Trasa statyczna w FRITZ!Box: wskaż adres LAN bramy VPN

Twoja domowa sieć LAN ma FRITZ!Box jako domyślny router i małe pudełko z Linuksem, które obok wykonuje zadania VPN. Pudełko dociera do sieci biurowej, a laptop za FRITZ!Boxem już nie. Trasa statyczna rozwiązuje to trzema polami, a jedyną prawdziwą trudnością jest odmowa wpisania adresu tunelu w polu bramy. Brama to następny router w twojej własnej sieci LAN i zawsze nim była.

Zapisz trzy pola, zanim otworzysz interfejs

Weź sieć LAN 192.168.50.0/24, FRITZ!Box pod 192.168.50.1 i pudełko VPN ze stałym adresem 192.168.50.2, które ma już działającą chronioną drogę do 10.40.0.0/16. Trasa mówi: dla tego zdalnego prefiksu przekaż pakiet urządzeniu pod stałym adresem LAN. Publiczny endpoint zdalnego serwera VPN i jego wewnętrzny adres tunelu są tu oba nieistotne, bo FRITZ!Box nigdy nic do nich nie wysyła bezpośrednio.

Zarezerwuj ten adres LAN poza pulą DHCP, inaczej skonfigurowana brama pewnego dnia będzie należeć do telefonu.

Gdzie FRITZ!Box trzyma trasę

FRITZ! otwiera sterowanie trasami IPv4 w sekcji Sieć domowa, potem Sieć, potem Ustawienia sieci, a dokładna etykieta i zagnieżdżenie zależą od modelu i wersji FRITZ!OS. Włącz widok rozszerzony, jeśli tabela tras jest ukryta, dodaj jeden wpis z powyższymi wartościami i zastosuj. Warto zajrzeć do instrukcji swojego modelu, bo ta sama funkcja przeniosła się między wersjami więcej niż raz. Zwróć uwagę na dokładne brzmienie wpisu, który zapisujesz, bo wpis w tabeli rzadko mówi, który ekran go utworzył.

To nie ta sama funkcja co zakończenie VPN przez sam FRITZ!Box. Trasa wskazuje inne urządzenie; wbudowany VPN to właśnie to urządzenie.

Brama musi trasować, nie tylko docierać

Host, który dociera do sieci zdalnej, nie staje się automatycznie routerem dla reszty sieci LAN. Pudełko VPN potrzebuje włączonego przekazywania IP, reguły firewalla zezwalającej na przekazywanie między interfejsem LAN a tunelem oraz trasy, która odsyła odpowiedź do sieci LAN, zamiast wypuszczać ją własną domyślną drogą. Włączenie przekazywania i zapomnienie reguły firewalla to najczęstsza połowiczna naprawa, a z punktu widzenia klienta wygląda jak awaria routingu.

Sprawdź to od strony FRITZ!Box, pingując adres LAN pudełka VPN, a następnie z klienta, śledząc trasę do adresu zdalnego i potwierdzając, że drugi skok to właśnie to pudełko.

Droga powrotna i nakładające się zakresy

Strona zdalna potrzebuje trasy dla 192.168.50.0/24 z powrotem przez tunel, chyba że świadomie tłumaczysz źródło na pudełku VPN. Zachowanie i tłumaczenie to różne polityki z różnymi logami i różnymi regułami dostępu, a dodana przed chwilą trasa statyczna nie wybiera między nimi. Nakładające się zakresy to trudniejszy problem: jeśli twoja sieć LAN i sieć zdalna dzielą prefiks, jedna trasa hosta ich nie rozróżni, a plan adresacji musi się zmienić.

Dodanie bardziej szczegółowej trasy gdzie indziej w sieci LAN albo drugi klient VPN na laptopie po cichu wygra z wpisem w FRITZ!Box.

Przetestuj ze zwykłego klienta, potem przetestuj awarię

Wykonaj test ze zwykłej upoważnionej maszyny w sieci LAN, nie z pudełka VPN, bo pudełko już działało i niczego nie dowodzi. Dotrzyj do usługi zdalnej i sprawdź odpowiedź, a następnie potwierdź, że niepowiązane cele internetowe nadal korzystają z trasy domyślnej i nie są ciągnięte przez tunel. Zastąpienie trasy domyślnej, aby dotrzeć do jednej podsieci, to znacznie większa zmiana niż wpis z trzema polami, od którego zacząłeś.

Na koniec odłącz VPN i zobacz, co się stanie. Trasa statyczna zostaje w tabeli, choć jej brama utraciła chronioną drogę, więc ruch zawodzi na pudełku, zamiast wracać do internetu, a wszelkie wymagania blokowania ruchu zapasowego należą do polityki samego pudełka, nie do zapisanej trasy.