FRITZ!Box LAN-LAN VPN: почему устройство не получает удалённый IP
В VPN LAN-LAN сети объединяются, а устройства сохраняют собственные адреса. Только коммутируемое подключение (dial-in) выдаёт адрес из удалённого пула.
Ноутбук подключается к VPN на FRITZ!Box, получает доступ к общей папке на другом участке и по-прежнему показывает свой домашний адрес в любом инструменте, который вы пробуете. Тогда люди ищут настройку, которая раздаёт удалённый IP, и никогда её не находят, потому что искать нечего. В связке LAN-LAN два маршрутизатора объединяют свои сети, и каждое устройство сохраняет адрес, который у него уже был. Только коммутируемое подключение арендует адрес из удалённого пула.
Остальное — о том, как различить эти две схемы и что на самом деле видит удалённая сторона.
Одна связка объединяет сети, другая одалживает адрес
Канал LAN-LAN — это маршрут между двумя подсетями, а не удалённый рабочий стол. Ваш ноутбук отправляет пакет на 192.168.188.40, FRITZ!Box распознаёт этот адрес назначения как достижимый через туннель, и пакет приходит с нетронутым исходным адресом отправителя. Ничему на этом пути не нужен второй адрес, и ничто его не назначает.
Профиль коммутируемого подключения ведёт себя как удалённое расширение маршрутизатора. Подключающемуся устройству выдаётся адрес из целевой LAN, поэтому оно появляется в тамошней таблице аренды. Тот же туннель, другой вопрос: одна схема расширяет сеть, другая впускает в неё гостя.
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
Что видит удалённый хост, зависит от трансляции адресов
При обычной маршрутизации удалённая машина записывает ваш настоящий локальный адрес, например 192.168.178.20, и её ответ должен вернуться через туннель. Этот ответ работает только тогда, когда у удалённого маршрутизатора есть маршрут ко всей вашей подсети, который связка обычно устанавливает за вас.
Если канал вместо этого переписывает адреса отправителя, удалённый хост видит один адрес для всего за туннелем: собственный LAN-адрес маршрутизатора. Обе схемы законны, и обе позволяют ответить на вопрос какой у меня IP так, что это никак не связано с тем, поднят ли VPN.
Это можно выяснить за минуту без догадок. Откройте таблицу соединений или журнал доступа на машине на другом участке, пока запрос выполняется, и прочитайте столбец источника. Адрес, принадлежащий отправляющей подсети, означает, что маршрутизация есть; один повторяющийся адрес маршрутизатора означает, что канал транслирует адреса. Запишите результат, потому что от него зависит, должны ли правила удалённого доступа разрешать подсеть или один хост.
Где эти значения находятся в FRITZ!OS
В актуальной версии FRITZ!OS мастер находится в разделе Internet, затем Freigaben, затем VPN, за кнопкой нового подключения. Первый выбор — нужная вам форма: FRITZ!Box, соединённый с другим FRITZ!Box, или один компьютер, который дозванивается.
- Выберите вариант с двумя маршрутизаторами и продолжите.
- На следующей странице Netzwerkeinstellungen назовите удалённую сеть IPv4, например 192.168.188.0/24, и задайте общий ключ VPN.
- Завершите мастер, затем импортируйте предложенный файл конфигурации на другом FRITZ!Box.
Поле удалённой сети — то, что важно при этом симптоме. Оно сообщает маршрутизатору, какие адресаты относятся к дальней стороне туннеля; ключ решает только, поднимется ли туннель вообще. Неверная сеть там даёт тишину, а не адрес.
Когда удалённая сторона требует удалённую идентичность
Некоторые сервисы написаны так, что принимают только клиентов, чей адрес попадает в их собственную подсеть, и никакая маршрутизация их не устроит. Это политика на их стороне, и решение — другой тип подключения, а не ещё одна настройка туннеля.
Добавьте профиль коммутируемого подключения для этого одного устройства, а связку оставьте для всего остального. Тогда устройство берёт в аренду адрес из удалённого пула и появляется в списке подключений удалённого маршрутизатора, а это именно то, что сервис хочет видеть. Два профиля могут сосуществовать на одном маршрутизаторе, если у каждого свой общий ключ и своя запись сети.
Выполните эти проверки по порядку
Прежде чем менять режимы, подтвердите основы, потому что связка, которая никогда не работала, выглядит так же, как работающая правильно.
- Сравните два префикса LAN. Связка между двумя сетями, которые обе используют 192.168.178.0/24, не может маршрутизировать, и решение — перенумеровать одну сторону.
- На каждом маршрутизаторе прочитайте обзор VPN и подтвердите, что удалённая сеть отображается как подключённая.
- С хоста на удалённом участке запросите сервис и прочитайте адрес источника, который он записывает. Именно это наблюдение отвечает на исходный вопрос.
Проверяйте с клиента, никогда со страницы ping самого маршрутизатора: маршрутизатор может достигать адресатов путями, которые его LAN-хосты использовать не могут, поэтому успешный ping там ничего не доказывает об устройстве.
Если работают оба направления, а устройство всё ещё показывает свой домашний адрес, связка выполняет свою работу. Прибегайте к профилю коммутируемого подключения только тогда, когда удалённая идентичность действительно нужна, и держите обе схемы задокументированными рядом с планом подсетей.