Rută statică în FRITZ!Box: îndreptați-o spre IP-ul LAN al gateway-ului VPN

LAN-ul casei dumneavoastră are un FRITZ!Box ca router implicit și o cutie Linux mică alături care face treaba de VPN. Cutia ajunge la rețeaua biroului, iar laptopul din spatele FRITZ!Box nu. O rută statică rezolvă asta în trei câmpuri, iar singura dificultate reală este să refuzați să puneți o adresă de tunel în câmpul gateway. Gateway-ul este următorul router din propriul LAN și a fost întotdeauna așa.

Scrieți cele trei câmpuri înainte de a deschide interfața

Luați un LAN 192.168.50.0/24, un FRITZ!Box la 192.168.50.1 și o cutie VPN cu o adresă fixă 192.168.50.2 care are deja o cale protejată funcțională spre 10.40.0.0/16. Ruta spune: pentru acel prefix îndepărtat, dați pachetul dispozitivului de la adresa LAN fixă. Endpointul public al serverului VPN îndepărtat și adresa lui internă de tunel sunt ambele irelevante aici, pentru că FRITZ!Box nu le trimite niciodată nimic direct.

Rezervați acea adresă LAN în afara bazinului DHCP, altfel gateway-ul pe care l-ați configurat va aparține într-o zi unui telefon.

Unde ține FRITZ!Box ruta

FRITZ! deschide controalele rutelor IPv4 la Rețea de acasă, apoi Rețea, apoi Setări de rețea, cu eticheta și imbricarea exacte în funcție de model și de versiunea FRITZ!OS. Activați vizualizarea extinsă dacă tabelul de rute este ascuns, adăugați o intrare cu valorile de mai sus și aplicați. Merită o privire în ghidul modelului dumneavoastră, pentru că aceeași funcție s-a mutat între versiuni mai mult de o dată. Observați formularea exactă a intrării pe care o salvați, pentru că o intrare din tabel rareori spune ce ecran a creat-o.

Aceasta nu este aceeași funcție ca atunci când FRITZ!Box încheie el însuși un VPN. O rută indică un alt dispozitiv; VPN-ul integrat este dispozitivul.

Gateway-ul trebuie să ruteze, nu doar să ajungă

Un host care ajunge la rețeaua îndepărtată nu devine automat router pentru restul LAN-ului. Cutia VPN are nevoie de redirecționare IP activată, de o regulă de firewall care permite redirecționarea între interfața LAN și tunel, și de o rută care trimite răspunsul înapoi în LAN în loc să îl scoată pe propria cale implicită. Activarea redirecționării și uitarea regulii de firewall este cea mai frecventă jumătate de soluție, iar din partea clientului arată ca o defecțiune de rutare.

Verificați-l din partea FRITZ!Box făcând ping la adresa LAN a cutiei VPN, apoi de la un client trasând ruta spre o adresă îndepărtată și confirmând că al doilea salt este acea cutie.

Calea de întoarcere și intervalele suprapuse

Partea îndepărtată are nevoie de o rută pentru 192.168.50.0/24 înapoi prin tunel, dacă nu cumva traduceți intenționat sursa la cutia VPN. Păstrarea și traducerea sunt politici diferite, cu jurnale diferite și reguli de acces diferite, iar ruta statică pe care tocmai ați adăugat-o nu alege între ele. Intervalele suprapuse sunt o problemă mai grea: dacă LAN-ul dumneavoastră și rețeaua îndepărtată împart un prefix, o singură rută de host nu le poate distinge, iar planul de adrese trebuie schimbat.

Adăugarea unei rute mai specifice în altă parte a LAN-ului, sau un al doilea client VPN pe laptop, va câștiga în liniște în fața intrării din FRITZ!Box.

Testați de la un client normal, apoi testați defecțiunea

Rulați testul de pe o mașină LAN autorizată obișnuită, nu de pe cutia VPN, pentru că cutia funcționa deja și nu dovedește nimic. Ajungeți la un serviciu îndepărtat și verificați răspunsul, apoi confirmați că destinațiile de internet nelegate folosesc în continuare ruta implicită și nu sunt târâte prin tunel. Înlocuirea rutei implicite pentru a ajunge la o singură subrețea este o schimbare mult mai mare decât intrarea cu trei câmpuri cu care ați început.

În final, deconectați VPN-ul și vedeți ce se întâmplă. Ruta statică rămâne în tabel în timp ce gateway-ul ei a pierdut calea protejată, așa că traficul eșuează la cutie în loc să cadă înapoi pe internet, iar orice cerință de a bloca traficul de rezervă aparține politicii cutiei înseși, nu unei rute salvate.