FRITZ!Box LAN-LAN VPN: чому пристрій не отримує віддалену IP
У VPN LAN-LAN мережі об'єднуються, а пристрої зберігають власні адреси. Лише комутоване підключення (dial-in) видає адресу з віддаленого пулу.
Ноутбук підключається до VPN на FRITZ!Box, отримує доступ до спільної теки на іншому майданчику і все ще показує свою домашню адресу в кожному інструменті, який ви пробуєте. Тоді люди шукають налаштування, яке роздає віддалену IP, і ніколи його не знаходять, бо шукати нічого. У зв'язці LAN-LAN два маршрутизатори об'єднують свої мережі, і кожен пристрій зберігає адресу, яку вже мав. Лише комутоване підключення орендує адресу з віддаленого пулу.
Решта — про те, як розрізнити ці дві схеми і що насправді бачить віддалена сторона.
Одна зв'язка об'єднує мережі, інша позичає адресу
Канал LAN-LAN — це маршрут між двома підмережами, а не віддалений робочий стіл. Ваш ноутбук надсилає пакет на 192.168.188.40, FRITZ!Box розпізнає цю адресу призначення як досяжну через тунель, і пакет приходить із недоторканою початковою адресою джерела. Нічому на цьому шляху не потрібна друга адреса, і ніщо її не призначає.
Профіль комутованого підключення поводиться як віддалене розширення маршрутизатора. Пристрою, що підключається, видається адреса з цільової LAN, тому він з'являється в тамтешній таблиці оренди. Той самий тунель, інше питання: одна схема розширює мережу, інша впускає до неї гостя.
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
Що бачить віддалений хост, залежить від трансляції адрес
За звичайної маршрутизації віддалена машина записує вашу справжню локальну адресу, наприклад 192.168.178.20, і її відповідь має повернутися через тунель. Ця відповідь працює лише тоді, коли у віддаленого маршрутизатора є маршрут до всієї вашої підмережі, який зв'язка зазвичай встановлює за вас.
Якщо канал натомість переписує адреси джерела, віддалений хост бачить одну адресу для всього за тунелем: власну LAN-адресу маршрутизатора. Обидві схеми законні, і обидві дозволяють відповісти на питання яка моя IP так, що це ніяк не пов'язано з тим, чи піднято VPN.
Це можна з'ясувати за хвилину без здогадів. Відкрийте таблицю з'єднань або журнал доступу на машині на іншому майданчику, поки запит виконується, і прочитайте стовпець джерела. Адреса, що належить підмережі відправника, означає, що маршрутизація є; одна повторювана адреса маршрутизатора означає, що канал транслює. Запишіть результат, бо від нього залежить, чи мають правила віддаленого доступу дозволяти підмережу або один хост.
Де ці значення живуть у FRITZ!OS
У поточній версії FRITZ!OS майстер розташований у розділі Internet, далі Freigaben, далі VPN, за кнопкою нового підключення. Перший вибір — потрібна вам форма: FRITZ!Box, з'єднаний з іншим FRITZ!Box, або один комп'ютер, що додзвонюється.
- Виберіть варіант із двома маршрутизаторами і продовжте.
- На наступній сторінці Netzwerkeinstellungen назвіть віддалену мережу IPv4, наприклад 192.168.188.0/24, і задайте спільний ключ VPN.
- Завершіть майстер, а потім імпортуйте запропонований файл конфігурації на іншому FRITZ!Box.
Поле віддаленої мережі — те, що важливе для цього симптому. Воно повідомляє маршрутизатору, які адресати належать дальньому боку тунелю; ключ вирішує лише, чи підніметься тунель узагалі. Неправильна мережа там дає тишу, а не адресу.
Коли віддалена сторона вимагає віддалену ідентичність
Деякі сервіси написані так, що приймають лише клієнтів, чия адреса потрапляє до їхньої власної підмережі, і жодна маршрутизація їх не задовольнить. Це політика на їхньому боці, і рішення — інший тип підключення, а не ще одне налаштування тунелю.
Додайте профіль комутованого підключення для цього одного пристрою, а зв'язку залиште для всього іншого. Тоді пристрій орендує адресу з віддаленого пулу і з'являється у списку підключень віддаленого маршрутизатора, а це саме те, що сервіс хоче бачити. Два профілі можуть існувати на одному маршрутизаторі, якщо кожен має власний спільний ключ і власний запис мережі.
Виконайте ці перевірки по черзі
Перш ніж змінювати режими, підтвердьте основи, бо зв'язка, яка ніколи не працювала, виглядає так само, як та, що працює правильно.
- Порівняйте два префікси LAN. Зв'язка між двома мережами, які обидві використовують 192.168.178.0/24, не може маршрутизувати, і рішення — перенумерувати один бік.
- На кожному маршрутизаторі прочитайте огляд VPN і підтвердьте, що віддалена мережа відображається як підключена.
- З хоста на віддаленому майданчику запитайте сервіс і прочитайте адресу джерела, яку він записує. Саме це спостереження відповідає на початкове питання.
Тестуйте з клієнта, ніколи зі сторінки ping самого маршрутизатора: маршрутизатор може досягати адресатів шляхами, які його LAN-хости використовувати не можуть, тому успішний ping там нічого не доводить про пристрій.
Якщо працюють обидва напрямки, а пристрій усе ще показує свою домашню адресу, зв'язка виконує свою роботу. Вдавайтеся до профілю комутованого підключення лише тоді, коли віддалена ідентичність справді потрібна, і тримайте обидві схеми задокументованими поруч із планом підмереж.