Statická trasa vo FRITZ!Boxe: nasmerujte ju na LAN IP VPN brány
FRITZ!Box potrebuje vzdialený prefix a LAN adresu VPN boxu, nie adresu tunela. Nastavte tri polia a spiatočnú cestu správne.
Vaša domáca LAN má FRITZ!Box ako predvolený router a vedľa neho malý Linux box, ktorý robí VPN. Box sa dostane do kancelárskej siete, notebook za FRITZ!Boxom nie. Statická trasa to vyrieši tromi poľami a jediná skutočná obtiaž je odmietnuť dať do poľa brány adresu tunela. Brána je ďalší router na vašej vlastnej LAN a vždy ním bola.
Napíšte tri polia skôr, než otvoríte rozhranie
Vezmite LAN 192.168.50.0/24, FRITZ!Box na 192.168.50.1 a VPN box s pevnou adresou 192.168.50.2, ktorý už má funkčnú chránenú cestu do 10.40.0.0/16. Trasa hovorí: pre tento vzdialený prefix odovzdajte paket zariadeniu na pevnej LAN adrese. Verejný endpoint vzdialeného VPN servera aj jeho vnútorná adresa tunela sú tu oba irelevantné, pretože FRITZ!Box im nikdy nič neposiela priamo.
| Pole | Hodnota | Čo pomenúva |
|---|---|---|
| Sieť IPv4 | 10.40.0.0 | Vzdialená cieľová sieť |
| Maska podsiete | 255.255.0.0 | Aký veľký je ten cieľ |
| Brána | 192.168.50.2 | Ďalší router v domácej LAN |
Rezervujte tú LAN adresu mimo fondu DHCP, inak bude brána, ktorú ste nastavili, jedného dňa patriť telefónu.
Kde FRITZ!Box trasu drží
FRITZ! otvára ovládanie trás IPv4 v časti Domáca sieť, potom Sieť, potom Nastavenia siete, pričom presný názov a zanorenie závisia od modelu a verzie FRITZ!OS. Zapnite rozšírené zobrazenie, ak je tabuľka trás skrytá, pridajte jeden záznam s hodnotami vyššie a použite ho. Návod pre váš konkrétny model stojí za pohľad, pretože tá istá funkcia sa medzi verziami presunula viackrát. Všimnite si presnú formuláciu záznamu, ktorý ukladáte, pretože záznam v tabuľke málokedy povie, ktorá obrazovka ho vytvorila.
Toto nie je tá istá funkcia, ako keď FRITZ!Box sám ukončuje VPN. Trasa ukazuje na iné zariadenie; vstavaná VPN je to zariadenie.
Brána musí smerovať, nielen dosiahnuť
Hostiteľ, ktorý dosiahne vzdialenú sieť, nie je automaticky routerom pre zvyšok LAN. VPN box potrebuje zapnuté IP preposielanie, pravidlo firewallu, ktoré povoľuje preposielanie medzi LAN rozhraním a tunelom, a trasu, ktorá pošle odpoveď späť do LAN namiesto toho, aby vyšla jeho vlastnou predvolenou cestou. Zapnúť preposielanie a zabudnúť na pravidlo firewallu je najčastejšia polovičná oprava a z pohľadu klienta to vyzerá ako zlyhanie smerovania.
Overte to zo strany FRITZ!Boxu pingom na LAN adresu VPN boxu a potom z klienta traceroute na vzdialenú adresu a potvrdením, že druhý skok je tento box.
Spiatočná cesta a prekrývajúce sa rozsahy
Vzdialená strana potrebuje trasu pre 192.168.50.0/24 späť tunelom, ak zámerne neprekladáte zdroj na VPN boxe. Zachovanie a preklad sú rôzne politiky s rôznymi logmi a rôznymi pravidlami prístupu, a statická trasa, ktorú ste práve pridali, medzi nimi nevyberá. Prekrývajúce sa rozsahy sú ťažší problém: ak vaša LAN a vzdialená sieť zdieľajú prefix, jediná trasa hostiteľa ich nerozlíši a plán adries sa musí zmeniť.
Pridanie konkrétnejšej trasy inde v LAN alebo druhého VPN klienta na notebooku potichu prebije záznam vo FRITZ!Boxe.
Testujte z bežného klienta, potom testujte zlyhanie
Test spustite z bežného oprávneného stroja v LAN, nie z VPN boxu, pretože box už fungoval a nič nedokazuje. Dosiahnite vzdialenú službu a skontrolujte odpoveď, potom potvrďte, že nesúvisiace internetové ciele stále idú predvolenou trasou a nie sú ťahané tunelom. Nahradiť predvolenú trasu kvôli jednej podsieti je oveľa väčšia zmena než záznam s tromi poľami, s ktorým ste začali.
Nakoniec odpojte VPN a pozrite sa, čo sa stane. Statická trasa zostane v tabuľke, aj keď jej brána stratila chránenú cestu, takže premávka zlyhá na boxe namiesto toho, aby spadla späť na internet, a akákoľvek požiadavka blokovať záložnú premávku patrí do politiky samotného boxu, nie do uloženej trasy.