FRITZ!Box LAN-LAN VPN: varför enheten inte får någon extern IP
I en LAN-LAN VPN kopplas näten samman och enheterna behåller sina egna adresser. Bara en inringningsanslutning delar ut en adress från den externa poolen.
En bärbar dator ansluter till en FRITZ!Box VPN, når en filresurs på den andra platsen och visar fortfarande sin hemadress i varje verktyg du provar. Folk letar då efter en inställning som delar ut en extern IP och hittar den aldrig, eftersom det inte finns något att hitta. I en LAN-LAN-koppling kopplar två routrar ihop sina nät och varje enhet behåller adressen den redan hade. Bara en inringningsanslutning hyr en adress från den externa poolen.
Resten handlar om att skilja de två uppläggen åt och om vad den andra sidan faktiskt ser.
Den ena kopplingen kopplar ihop nät, den andra lånar ut en adress
En LAN-LAN-länk är en väg mellan två subnät, inte ett fjärrskrivbord. Din bärbara dator skickar ett paket till 192.168.188.40, FRITZ!Box känner igen målet som nåbart via tunneln, och paketet anländer med din ursprungliga källadress intakt. Ingenting på den vägen behöver en andra adress, och ingenting tilldelar en.
En inringsprofil beter sig som en extern förlängning av routern. Enheten som ansluter får en adress från målets LAN, och därför dyker den upp i leasetabellen där. Samma tunnel, annan fråga: den ena designen utökar ett nät, den andra släpper in en gäst i det.
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
Vad den externa värden ser beror på översättning
Med vanlig routning registrerar den externa maskinen din riktiga lokala adress, till exempel 192.168.178.20, och dess eget svar måste färdas tillbaka genom tunneln. Det svaret fungerar bara när den externa routern har en väg för hela ditt subnät, vilket kopplingen normalt installerar åt dig.
Om länken i stället skriver om källadresserna ser den externa värden en enda adress för allt bakom tunneln: routerns egen LAN-adress. Båda designerna är legitima, och båda gör frågan vilken är min IP möjlig att svara på utan någon koppling till om VPN:en är uppe.
Du kan avgöra det på en minut utan att gissa. Öppna en anslutningstabell eller en åtkomstlogg på en maskin på den andra platsen medan en förfrågan pågår och läs källkolumnen. En adress som hör till subnätet som skickar betyder att routning finns; en enda upprepad routeradress betyder att länken översätter. Skriv resultatet i dina anteckningar, eftersom det avgör om regler för fjärråtkomst måste tillåta ett subnät eller en enda värd.
Var dessa värden bor i FRITZ!OS
I en aktuell FRITZ!OS-version ligger guiden under Internet, sedan Freigaben, sedan VPN, bakom knappen för en ny anslutning. Det första valet är den form du vill ha: en FRITZ!Box kopplad till en annan FRITZ!Box, eller en enda dator som ringer in.
- Välj alternativet med två routrar och fortsätt.
- På nästa Netzwerkeinstellungen-sida namnger du det externa IPv4-nätet, till exempel 192.168.188.0/24, och ställer in den delade VPN-nyckeln.
- Slutför guiden och importera sedan den konfigurationsfil den erbjuder på den andra FRITZ!Boxen.
Fältet för externt nät är det som spelar roll för det här symptomet. Det talar om för routern vilka mål som hör till tunnelns andra sida; nyckeln avgör bara om tunneln kommer upp över huvud taget. Ett felaktigt nät där ger tystnad, inte en adress.
När den andra sidan kräver en extern identitet
Vissa tjänster är skrivna för att bara acceptera klienter vars adress ligger inom deras eget subnät, och ingen routning kommer att tillfredsställa dem. Det är en policy på deras sida, och lösningen är en annan anslutningstyp i stället för ännu en tunnelinställning.
Lägg till en inringsprofil för den enda enheten och låt kopplingen vara för allt annat. Enheten hyr då en adress från den externa poolen och visas i den externa routerns anslutningslista, vilket är precis vad tjänsten vill se. Två profiler kan finnas sida vid sida på en router, förutsatt att var och en har sin egen delade nyckel och sin egen nätverkspost.
Utför dessa kontroller i ordning
Innan du byter läge, bekräfta grunderna, eftersom en koppling som aldrig fungerat ser identisk ut med en som fungerar korrekt.
- Jämför de två LAN-prefixen. En koppling mellan två nät som båda använder 192.168.178.0/24 kan inte routa, och lösningen är att numrera om ena sidan.
- På varje router läser du VPN-översikten och bekräftar att det externa nätet visas som anslutet.
- Från en värd på den externa platsen begär du tjänsten och läser källadressen som den loggar. Det är den observation som svarar på den ursprungliga frågan.
Testa från en klient, aldrig från routerns egen ping-sida: routern kan nå mål via vägar som dess LAN-värdar inte kan använda, så en lyckad ping där bevisar ingenting om enheten.
Om båda riktningarna fungerar och enheten fortfarande visar sin hemadress, gör kopplingen sitt jobb. Ta bara till en inringsprofil när en extern identitet verkligen krävs, och håll de två uppläggen dokumenterade bredvid subnätplanen.