Статичка рута у FRITZ!Box-у: усмерите је на LAN IP VPN пролаза
FRITZ!Box-у су потребни удаљени префикс и LAN адреса VPN кутије, а не адреса тунела. Подесите три поља и повратни пут.
Ваш кућни LAN има FRITZ!Box као подразумевани рутер и малу Linux кутију која поред њега обавља VPN посао. Кутија може да дође до канцеларијске мреже, а лаптоп иза FRITZ!Box-а не може. Статичка рута то решава у три поља, а једина права потешкоћа је одбити да у поље пролаза ставите адресу тунела. Пролаз је следећи рутер на вашем LAN-у и то је одувек био.
Запишите три поља пре него што отворите интерфејс
Узмите LAN 192.168.50.0/24, FRITZ!Box на 192.168.50.1, и VPN кутију са фиксном адресом 192.168.50.2 која већ има радни заштићени пут до 10.40.0.0/16. Рута каже: за тај удаљени префикс предајте пакет уређају на фиксној LAN адреси. Јавни endpoint удаљеног VPN сервера и његова унутрашња адреса тунела су овде оба неважна, јер FRITZ!Box им никада ништа не шаље директно.
| Поље | Вредност | Шта именује |
|---|---|---|
| IPv4 мрежа | 10.40.0.0 | Удаљена одредишна мрежа |
| Маска подмреже | 255.255.0.0 | Колико је то одредиште велико |
| Пролаз | 192.168.50.2 | Следећи рутер на кућном LAN-у |
Резервишите ту LAN адресу изван DHCP базена, иначе ће пролаз који сте подесили једног дана припасти телефону.
Где FRITZ!Box држи руту
FRITZ! отвара контроле IPv4 рута под Кућна мрежа, затим Мрежа, затим Подешавања мреже, а тачна ознака и угњежђење зависе од модела и верзије FRITZ!OS-а. Укључите напредни приказ ако је табела рута скривена, додајте један унос са горњим вредностима и примените. Вреди погледати упутство за ваш конкретан модел, јер се иста функција више пута селила између издања. Забележите тачан текст уноса који чувате, јер унос у табели ретко каже који га је екран направио.
Ово није иста функција као када FRITZ!Box сам завршава VPN. Рута показује на други уређај; уграђени VPN је тај уређај.
Пролаз мора да усмерава, а не само да достигне
Домаћин који може да дође до удаљене мреже није аутоматски рутер за остатак LAN-а. VPN кутији је потребно омогућено IP прослеђивање, правило заштитног зида које дозвољава прослеђивање између LAN интерфејса и тунела, и рута која одговор враћа у LAN, а не кроз његов сопствени подразумевани пут. Укључити прослеђивање и заборавити правило заштитног зида најчешћа је полупоправка и са клијентове стране изгледа као квар усмеравања.
Проверите то са стране FRITZ!Box-а пинговањем LAN адресе VPN кутије, а затим са клијента трацертом до удаљене адресе и потврдом да је други хоп управо та кутија.
Повратни пут и преклапајући опсези
Удаљеној страни је потребна рута за 192.168.50.0/24 назад кроз тунел, осим ако свесно преводите извор на VPN кутији. Чување и превођење су различите политике са различитим дневницима и различитим правилима приступа, а статичка рута коју сте управо додали не бира између њих. Преклапајући опсези су тежи проблем: ако ваш LAN и удаљена мрежа деле префикс, једна рута домаћина не може да их разликује и план адреса мора да се промени.
Додавање специфичније руте негде другде на LAN-у, или другог VPN клијента на лаптопу, тихо ће победити унос у FRITZ!Box-у.
Тестирајте са нормалног клијента, па тестирајте квар
Изведите тест са обичне овлашћене LAN машине, не са VPN кутије, јер је кутија већ радила и ништа не доказује. Дођите до удаљене услуге и проверите одговор, затим потврдите да неповезана интернет одредишта и даље иду подразумеваном рутом и не вуку се кроз тунел. Замена подразумеване руте да бисте дошли до једне подмреже много је већа промена од уноса са три поља са којим сте почели.
На крају искључите VPN и погледајте шта се дешава. Статичка рута остаје у табели док је њен пролаз изгубио заштићени пут, па саобраћај пада на кутији уместо да се врати на интернет, а сваки захтев за блокирање резервног саобраћаја припада политици саме кутије, а не сачуваној рути.