FRITZ!Box LAN-LAN VPN: dlaczego urządzenie nie dostaje zdalnego IP
W VPN LAN-LAN sieci są łączone, a urządzenia zachowują własne adresy. Tylko połączenie dodzwaniane przydziela adres z puli zdalnej.
Laptop łączy się z VPN na FRITZ!Boxie, dociera do udziału plików w drugiej lokalizacji i nadal pokazuje swój adres domowy w każdym narzędziu, którego spróbujesz. Potem ludzie szukają ustawienia, które przydziela zdalny IP, i nigdy go nie znajdują, bo nie ma czego szukać. W sprzężeniu LAN-LAN dwa routery łączą swoje sieci, a każde urządzenie zachowuje adres, który już miało. Tylko połączenie dodzwaniane wynajmuje adres z puli zdalnej.
Reszta dotyczy odróżniania tych dwóch układów i tego, co naprawdę widzi druga strona.
Jedno sprzężenie łączy sieci, drugie pożycza adres
Łącze LAN-LAN to trasa między dwiema podsieciami, a nie zdalny pulpit. Twój laptop wysyła pakiet na 192.168.188.40, FRITZ!Box rozpoznaje ten cel jako osiągalny przez tunel, a pakiet dociera z nietkniętym oryginalnym adresem źródłowym. Nic na tej drodze nie potrzebuje drugiego adresu i nic go nie przydziela.
Profil dodzwania zachowuje się jak zdalne rozszerzenie routera. Podłączanemu urządzeniu przydzielany jest adres z docelowej sieci LAN, dlatego pojawia się w tamtejszej tabeli dzierżaw. Ten sam tunel, inne pytanie: jeden projekt rozszerza sieć, drugi wpuszcza do niej gościa.
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
To, co widzi zdalny host, zależy od tłumaczenia adresów
Przy zwykłym routingu zdalna maszyna zapisuje twój prawdziwy adres lokalny, na przykład 192.168.178.20, a jej odpowiedź musi wrócić przez tunel. Ta odpowiedź działa tylko wtedy, gdy zdalny router ma trasę do całej twojej podsieci, którą sprzężenie zwykle instaluje za ciebie.
Jeśli łącze zamiast tego przepisuje adresy źródłowe, zdalny host widzi jeden adres dla wszystkiego za tunelem: własny adres LAN routera. Oba projekty są zgodne z prawem i oba sprawiają, że pytanie jaki jest mój IP można odpowiedzieć bez związku z tym, czy VPN jest włączony.
Możesz to rozstrzygnąć w minutę bez zgadywania. Otwórz tabelę połączeń lub dziennik dostępu na maszynie w drugiej lokalizacji, gdy żądanie jest w drodze, i odczytaj kolumnę źródła. Adres należący do podsieci wysyłającej oznacza, że routing jest; jeden powtarzany adres routera oznacza, że łącze tłumaczy adresy. Zapisz wynik w notatkach, bo decyduje on, czy reguły dostępu zdalnego muszą dopuszczać podsieć, czy jeden host.
Gdzie te wartości mieszkają w FRITZ!OS
W aktualnej wersji FRITZ!OS kreator znajduje się pod Internet, potem Freigaben, potem VPN, za przyciskiem nowego połączenia. Pierwszy wybór to kształt, jakiego chcesz: FRITZ!Box połączony z innym FRITZ!Boxem albo jeden komputer dodzwaniany.
- Wybierz opcję dwóch routerów i kontynuuj.
- Na następnej stronie Netzwerkeinstellungen nazwij zdalną sieć IPv4, na przykład 192.168.188.0/24, i ustaw wspólny klucz VPN.
- Dokończ kreatora, a następnie zaimportuj oferowany plik konfiguracyjny na drugim FRITZ!Boxie.
Pole sieci zdalnej jest tym, które ma znaczenie przy tym objawie. Mówi routerowi, które cele należą do drugiej strony tunelu; klucz decyduje tylko o tym, czy tunel w ogóle wstanie. Błędna sieć tam daje ciszę, a nie adres.
Gdy druga strona nalega na zdalną tożsamość
Niektóre usługi są napisane tak, by akceptować tylko klientów, których adres mieści się w ich własnej podsieci, i żaden routing ich nie zadowoli. To polityka po ich stronie, a rozwiązaniem jest inny typ połączenia, a nie kolejne ustawienie tunelu.
Dodaj profil dodzwania dla tego jednego urządzenia, a sprzężenie zostaw dla całej reszty. Urządzenie wynajmie wtedy adres z puli zdalnej i pojawi się na liście połączeń zdalnego routera, czyli dokładnie to, co usługa chce zobaczyć. Dwa profile mogą współistnieć na jednym routerze, pod warunkiem że każdy ma własny wspólny klucz i własny wpis sieci.
Wykonaj te kontrole po kolei
Przed zmianą trybów potwierdź podstawy, bo sprzężenie, które nigdy nie działało, wygląda identycznie jak to, które działa poprawnie.
- Porównaj oba prefiksy LAN. Sprzężenie między dwiema sieciami, które obie używają 192.168.178.0/24, nie może routować, a rozwiązaniem jest przenumerowanie jednej strony.
- Na każdym routerze przeczytaj przegląd VPN i potwierdź, że zdalna sieć pojawia się jako połączona.
- Z hosta w zdalnej lokalizacji zażądaj usługi i odczytaj adres źródłowy, który ona zapisuje. To właśnie ta obserwacja odpowiada na pierwotne pytanie.
Testuj z klienta, nigdy ze strony ping samego routera: router może docierać do celów drogami, których jego hosty LAN nie mogą użyć, więc udany ping tam niczego nie dowodzi o urządzeniu.
Jeśli oba kierunki działają, a urządzenie nadal pokazuje swój adres domowy, sprzężenie robi swoje. Sięgnij po profil dodzwania tylko wtedy, gdy zdalna tożsamość jest naprawdę wymagana, i trzymaj oba układy udokumentowane obok planu podsieci.