Статичний маршрут у FRITZ!Box: спрямуйте його на LAN-IP VPN-шлюзу

У вашій домашній LAN маршрутизатором за замовчуванням працює FRITZ!Box, а поруч невелика Linux-коробка виконує роботу VPN. Коробка дістає до офісної мережі, а ноутбук за FRITZ!Box — ні. Статичний маршрут вирішує це трьома полями, і єдина справжня складність — відмовитися вписувати адресу тунелю в поле шлюзу. Шлюз — це наступний маршрутизатор у вашій власній LAN, і він завжди ним був.

Запишіть три поля до того, як відкриєте інтерфейс

Візьміть LAN 192.168.50.0/24, FRITZ!Box на 192.168.50.1 і VPN-коробку з фіксованою адресою 192.168.50.2, яка вже має робочий захищений шлях до 10.40.0.0/16. Маршрут каже: для цього віддаленого префікса віддайте пакет пристрою на фіксованій LAN-адресі. Публічний endpoint віддаленого VPN-сервера та його внутрішня адреса тунелю тут обидва неважливі, бо FRITZ!Box ніколи нічого їм напряму не надсилає.

Зарезервуйте цю LAN-адресу поза пулом DHCP, інакше налаштований вами шлюз одного дня дістанеться телефону.

Де FRITZ!Box зберігає маршрут

FRITZ! відкриває керування маршрутами IPv4 у розділі Домашня мережа, далі Мережа, далі Налаштування мережі, причому точний підпис і вкладеність залежать від моделі та версії FRITZ!OS. Увімкніть розширений вигляд, якщо таблиця маршрутів прихована, додайте один запис із наведеними значеннями й застосуйте. Варто зазирнути в посібник для вашої моделі, бо та сама функція не раз переїжджала між випусками. Зверніть увагу на точне формулювання запису, який зберігаєте, бо запис у таблиці рідко каже, який екран його створив.

Це не та сама функція, коли FRITZ!Box сам завершує VPN. Маршрут указує на інший пристрій; вбудований VPN — це сам пристрій.

Шлюз має маршрутизувати, а не просто діставати

Хост, що дістає віддалену мережу, не стає автоматично маршрутизатором для решти LAN. VPN-коробці потрібне ввімкнене IP-переспрямування, правило брандмауера, яке дозволяє переспрямування між LAN-інтерфейсом і тунелем, і маршрут, що надсилає відповідь назад у LAN, а не назовні власним шляхом за замовчуванням. Увімкнути переспрямування й забути правило брандмауера — найпоширеніша половинчаста правка, і з боку клієнта це виглядає як збій маршрутизації.

Перевірте це з боку FRITZ!Box, пропінгувавши LAN-адресу VPN-коробки, а потім з боку клієнта, простеживши маршрут до віддаленої адреси й переконавшись, що другий хоп — саме ця коробка.

Зворотний шлях і пересічні діапазони

Віддаленій стороні потрібен маршрут для 192.168.50.0/24 назад через тунель, якщо ви навмисно не транслюєте джерело на VPN-коробці. Збереження й трансляція — різні політики з різними журналами та різними правилами доступу, і щойно доданий статичний маршрут між ними не вибирає. Пересічні діапазони — складніша проблема: якщо ваша LAN і віддалена мережа ділять префікс, один хоста-маршрут їх не розрізнить, і план адрес доведеться змінювати.

Конкретніший маршрут деінде в LAN або другий VPN-клієнт на ноутбуці тихо переможуть запис у FRITZ!Box.

Перевірте зі звичайного клієнта, потім перевірте відмову

Виконуйте тест зі звичайної дозволеної машини в LAN, а не з VPN-коробки, бо коробка вже працювала й нічого не доводить. Дістаньтеся віддаленого сервісу й перевірте відповідь, потім переконайтеся, що сторонні інтернет-призначення далі йдуть маршрутом за замовчуванням і не тягнуться через тунель. Заміна маршруту за замовчуванням заради однієї підмережі — значно більша зміна, ніж запис із трьома полями, з якого ви почали.

Нарешті вимкніть VPN і подивіться, що станеться. Статичний маршрут лишається в таблиці, хоча його шлюз втратив захищений шлях, тож трафік відмовляє на коробці, а не падає назад в інтернет, і будь-яка вимога блокувати резервний трафік належить політиці самої коробки, а не збереженому маршруту.