Статический маршрут в FRITZ!Box: направьте его на LAN-IP VPN-шлюза

В вашей домашней LAN маршрутизатором по умолчанию работает FRITZ!Box, а рядом небольшая Linux-коробка выполняет задачи VPN. Коробка достаёт до офисной сети, а ноутбук за FRITZ!Box — нет. Статический маршрут решает это тремя полями, и единственная настоящая трудность — отказаться вписывать адрес туннеля в поле шлюза. Шлюз — это следующий маршрутизатор в вашей собственной LAN, и он всегда им был.

Запишите три поля до того, как откроете интерфейс

Возьмите LAN 192.168.50.0/24, FRITZ!Box на 192.168.50.1, и VPN-коробку с фиксированным адресом 192.168.50.2, у которой уже есть рабочий защищённый путь к 10.40.0.0/16. Маршрут говорит: для этого удалённого префикса отдайте пакет устройству на фиксированном LAN-адресе. Публичный endpoint удалённого VPN-сервера и его внутренний адрес туннеля здесь оба неважны, потому что FRITZ!Box никогда ничего им напрямую не отправляет.

Зарезервируйте этот LAN-адрес вне пула DHCP, иначе настроенный вами шлюз однажды достанется телефону.

Где FRITZ!Box хранит маршрут

FRITZ! открывает управление маршрутами IPv4 в разделе Домашняя сеть, затем Сеть, затем Настройки сети, причём точная подпись и вложенность зависят от модели и версии FRITZ!OS. Включите расширенный вид, если таблица маршрутов скрыта, добавьте одну запись с указанными значениями и примените. Стоит заглянуть в руководство для вашей модели, потому что та же функция не раз переезжала между выпусками. Обратите внимание на точную формулировку сохраняемой записи, потому что запись в таблице редко говорит, какой экран её создал.

Это не та же функция, когда FRITZ!Box сам завершает VPN. Маршрут указывает на другое устройство; встроенный VPN — это само устройство.

Шлюз должен маршрутизировать, а не просто доставать

Хост, достающий удалённую сеть, не становится автоматически маршрутизатором для остальной LAN. VPN-коробке нужно включённое IP-перенаправление, правило брандмауэра, разрешающее перенаправление между LAN-интерфейсом и туннелем, и маршрут, который отправляет ответ обратно в LAN, а не наружу по собственному пути по умолчанию. Включить перенаправление и забыть правило брандмауэра — самая частая половинчатая правка, и со стороны клиента это выглядит как сбой маршрутизации.

Проверьте это со стороны FRITZ!Box, пропинговав LAN-адрес VPN-коробки, а затем со стороны клиента, проследив маршрут до удалённого адреса и убедившись, что второй хоп — именно эта коробка.

Обратный путь и пересекающиеся диапазоны

Удалённой стороне нужен маршрут для 192.168.50.0/24 обратно через туннель, если вы намеренно не транслируете источник на VPN-коробке. Сохранение и трансляция — разные политики с разными журналами и разными правилами доступа, и только что добавленный статический маршрут между ними не выбирает. Пересекающиеся диапазоны — задача сложнее: если ваша LAN и удалённая сеть делят префикс, один хостовый маршрут их не различит, и план адресов придётся менять.

Более конкретный маршрут в другом месте LAN или второй VPN-клиент на ноутбуке тихо победят запись в FRITZ!Box.

Проверьте с обычного клиента, затем проверьте отказ

Выполняйте тест с обычной разрешённой машины в LAN, а не с VPN-коробки, потому что коробка уже работала и ничего не доказывает. Дойдите до удалённого сервиса и проверьте ответ, затем убедитесь, что посторонние интернет-назначения по-прежнему идут по маршруту по умолчанию и не тянутся через туннель. Замена маршрута по умолчанию ради одной подсети — куда большее изменение, чем запись с тремя полями, с которой вы начали.

Наконец, отключите VPN и посмотрите, что произойдёт. Статический маршрут остаётся в таблице, хотя его шлюз потерял защищённый путь, поэтому трафик отказывает на коробке, а не падает обратно в интернет, и любое требование блокировать резервный трафик относится к политике самой коробки, а не к сохранённому маршруту.