FRITZ!Box VPN LAN-LAN: por que o seu dispositivo não recebe nenhum IP remoto
Numa VPN LAN-LAN as redes são unidas e os dispositivos mantêm os seus próprios endereços. Só uma ligação por marcação atribui um endereço do pool remoto.
Um portátil liga-se a uma VPN do FRITZ!Box, chega a uma pasta partilhada no outro local e continua a mostrar o seu endereço de casa em todas as ferramentas que experimentar. Depois as pessoas procuram uma definição que distribua um IP remoto e nunca a encontram, porque não há nada para encontrar. Numa ligação LAN-LAN dois routers juntam as suas redes e cada dispositivo mantém o endereço que já tinha. Só uma ligação por marcação aluga um endereço do pool remoto.
O resto trata de distinguir estes dois arranjos e do que o lado remoto vê realmente.
Uma ligação une redes, a outra empresta um endereço
Uma ligação LAN-LAN é uma rota entre duas sub-redes, não um ambiente de trabalho remoto. O seu portátil envia um pacote para 192.168.188.40, o FRITZ!Box reconhece esse destino como alcançável pelo túnel e o pacote chega com o seu endereço de origem intacto. Nada nesse caminho precisa de um segundo endereço, e nada atribui um.
Um perfil de marcação comporta-se como uma extensão remota do router. Ao dispositivo que se liga é dado um endereço da LAN de destino, e é por isso que aparece na tabela de concessões de lá. Mesmo túnel, pergunta diferente: um desenho estende uma rede, o outro admite um convidado nela.
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
O que o anfitrião remoto vê depende da tradução
Com encaminhamento simples, a máquina remota registra o seu endereço local real, por exemplo 192.168.178.20, e a resposta dela tem de voltar pelo túnel. Essa resposta só funciona quando o router remoto tem uma rota para toda a sua sub-rede, que a ligação normalmente instala por si.
Se a ligação reescrever os endereços de origem, o anfitrião remoto vê um único endereço para tudo o que está atrás do túnel: o endereço LAN do próprio router. Ambos os desenhos são legítimos e ambos tornam a pergunta qual é o meu IP respondível sem qualquer relação com o facto de a VPN estar ativa.
Pode resolver isto num minuto sem adivinhar. Abra uma tabela de ligações ou um registo de acessos numa máquina do outro local enquanto um pedido está em curso e leia a coluna de origem. Um endereço que pertence à sub-rede emissora significa que o encaminhamento está lá; um único endereço de router repetido significa que a ligação está a traduzir. Anote o resultado, porque determina se as regras de acesso remoto devem permitir uma sub-rede ou um único anfitrião.
Onde vivem estes valores no FRITZ!OS
Numa versão atual do FRITZ!OS o assistente está em Internet, depois Freigaben, depois VPN, atrás do botão para uma nova ligação. A primeira escolha é a forma que quer: um FRITZ!Box ligado a outro FRITZ!Box, ou um único computador a marcar.
- Escolha a opção de dois routers e continue.
- Na página Netzwerkeinstellungen seguinte, dê um nome à rede IPv4 remota, por exemplo 192.168.188.0/24, e defina a chave VPN partilhada.
- Termine o assistente e depois importe o ficheiro de configuração que ele oferece no outro FRITZ!Box.
O campo da rede remota é o que importa para este sintoma. Diz ao router quais destinos pertencem ao lado remoto do túnel; a chave só decide se o túnel chega a levantar-se. Uma rede errada ali produz silêncio, não um endereço.
Quando o lado remoto exige uma identidade remota
Alguns serviços estão escritos para aceitar apenas clientes cujo endereço cai dentro da sua própria sub-rede, e nenhum encaminhamento os satisfará. É uma política do lado deles, e a solução é um tipo de ligação diferente em vez de mais uma definição do túnel.
Adicione um perfil de marcação para esse único dispositivo e deixe a ligação para todo o resto. O dispositivo aluga então um endereço do pool remoto e aparece na lista de ligações do router remoto, que é exatamente o que o serviço quer ver. Dois perfis podem coexistir num router, desde que cada um tenha a sua chave partilhada e a sua entrada de rede.
Execute estas verificações por ordem
Antes de mudar de modo, confirme o básico, porque uma ligação que nunca funcionou parece idêntica a uma que funciona corretamente.
- Compare os dois prefixos LAN. Uma ligação entre duas redes que usem ambas 192.168.178.0/24 não pode encaminhar, e a solução é renumerar um lado.
- Em cada router, leia a vista geral da VPN e confirme que a rede remota aparece como ligada.
- A partir de um anfitrião do local remoto, peça o serviço e leia o endereço de origem que ele registra. É essa observação que responde à pergunta original.
Teste a partir de um cliente, nunca a partir da página de ping do próprio router: o router pode alcançar destinos por caminhos que os seus anfitriões LAN não podem usar, por isso um ping bem-sucedido ali não prova nada sobre o dispositivo.
Se as duas direções funcionarem e o dispositivo continuar a mostrar o seu endereço de casa, a ligação está a fazer o seu trabalho. Recorra a um perfil de marcação apenas quando uma identidade remota for mesmo necessária, e mantenha os dois arranjos documentados ao lado do plano de sub-redes.