Rota estática no FRITZ!Box: aponte-a para o IP LAN do gateway VPN

A sua LAN doméstica tem um FRITZ!Box como router predefinido e uma pequena caixa Linux ao lado que faz o serviço de VPN. A caixa alcança a rede do escritório, e o portátil atrás do FRITZ!Box não. Uma rota estática resolve isto em três campos, e a única dificuldade real é recusar-se a pôr um endereço de túnel no campo do gateway. O gateway é o próximo router da sua própria LAN, e sempre foi.

Escreva os três campos antes de abrir a interface

Considere uma LAN 192.168.50.0/24, um FRITZ!Box em 192.168.50.1, e uma caixa VPN com um endereço fixo 192.168.50.2 que já tem um caminho protegido a funcionar para 10.40.0.0/16. A rota diz: para esse prefixo remoto, entregue o pacote ao dispositivo no endereço LAN fixo. O endpoint público do servidor VPN remoto e o seu endereço de túnel interno são ambos irrelevantes aqui, porque o FRITZ!Box nunca lhes envia nada diretamente.

Reserve esse endereço LAN fora do pool DHCP, ou o gateway que configurou um dia vai pertencer a um telefone.

Onde o FRITZ!Box guarda a rota

O FRITZ! abre os controlos de rotas IPv4 em Rede doméstica, depois Rede, depois Definições de rede, com o rótulo e o aninhamento exatos a dependerem do modelo e da versão do FRITZ!OS. Ative a vista avançada se a tabela de rotas estiver oculta, acrescente uma entrada com os valores acima e aplique. Vale a pena espreitar o guia do seu modelo específico, porque a mesma função já mudou de lugar mais do que uma vez entre versões. Repare na redação exata da entrada que guarda, porque uma entrada de tabela raramente diz que ecrã a criou.

Isto não é a mesma funcionalidade de quando o FRITZ!Box termina um VPN por si. Uma rota aponta para outro dispositivo; o VPN incorporado é o dispositivo.

O gateway tem de encaminhar, não apenas alcançar

Um host que alcança a rede remota não é automaticamente um router para o resto da LAN. A caixa VPN precisa de reencaminhamento de IP ativo, de uma regra de firewall que permita o reencaminhamento entre a interface LAN e o túnel, e de uma rota que devolva a resposta à LAN em vez de a fazer sair pelo seu próprio caminho predefinido. Ativar o reencaminhamento e esquecer a regra da firewall é a meia-solução mais comum, e do lado do cliente parece uma falha de encaminhamento.

Verifique-o do lado do FRITZ!Box fazendo ping ao endereço LAN da caixa VPN, e depois a partir de um cliente traçando até um endereço remoto e confirmando que o segundo salto é essa caixa.

Caminho de volta e intervalos sobrepostos

O lado remoto precisa de uma rota para 192.168.50.0/24 de volta pelo túnel, a menos que traduza deliberadamente a origem na caixa VPN. Preservar e traduzir são políticas diferentes, com registos diferentes e regras de acesso diferentes, e a rota estática que acabou de acrescentar não escolhe entre elas. Os intervalos sobrepostos são um problema mais difícil: se a sua LAN e a rede remota partilharem um prefixo, uma única rota de host não as consegue distinguir, e o plano de endereços tem de mudar.

Acrescentar uma rota mais específica noutro ponto da LAN, ou um segundo cliente VPN no portátil, ganha silenciosamente à entrada do FRITZ!Box.

Teste a partir de um cliente normal, depois teste a falha

Faça o teste a partir de uma máquina LAN autorizada comum, não da caixa VPN, porque a caixa já funcionava e não prova nada. Alcance um serviço remoto e verifique a resposta, e depois confirme que destinos de internet não relacionados continuam a usar a rota predefinida e não são arrastados pelo túnel. Substituir a rota predefinida para chegar a uma sub-rede é uma alteração muito maior do que a entrada de três campos com que começou.

Por fim, desligue o VPN e veja o que acontece. A rota estática fica na tabela enquanto o seu gateway perdeu o caminho protegido, por isso o tráfego falha na caixa em vez de recair na internet, e qualquer requisito de bloquear tráfego de recurso pertence à política da própria caixa, não a uma rota guardada.