Tuyến tĩnh trên FRITZ!Box: trỏ nó vào IP LAN của cổng VPN

LAN tại nhà của bạn có một FRITZ!Box làm bộ định tuyến mặc định và một hộp Linux nhỏ làm nhiệm vụ VPN bên cạnh. Hộp này đến được mạng văn phòng, còn máy tính xách tay phía sau FRITZ!Box thì không. Một tuyến tĩnh giải quyết việc này bằng ba trường, và khó khăn thực sự duy nhất là từ chối đặt địa chỉ đường hầm vào trường cổng. Cổng là bộ định tuyến tiếp theo trên chính LAN của bạn, và nó luôn là như vậy.

Viết ba trường trước khi mở giao diện

Lấy một LAN 192.168.50.0/24, một FRITZ!Box tại 192.168.50.1, và một hộp VPN có địa chỉ cố định 192.168.50.2 đã có sẵn đường dẫn được bảo vệ hoạt động tới 10.40.0.0/16. Tuyến nói rằng: với tiền tố từ xa đó, hãy giao gói tin cho thiết bị tại địa chỉ LAN cố định. Điểm cuối công khai của máy chủ VPN từ xa và địa chỉ đường hầm bên trong của nó đều không liên quan ở đây, vì FRITZ!Box không bao giờ gửi trực tiếp bất cứ thứ gì tới chúng.

Hãy dành riêng địa chỉ LAN đó ngoài nhóm DHCP, nếu không cổng bạn đã cấu hình sẽ thuộc về một chiếc điện thoại vào một ngày nào đó.

FRITZ!Box giữ tuyến ở đâu

FRITZ! mở phần điều khiển tuyến IPv4 trong Mạng gia đình, sau đó Mạng, sau đó Cài đặt mạng, với nhãn và mức lồng chính xác tùy thuộc vào kiểu máy và phiên bản FRITZ!OS. Bật chế độ xem nâng cao nếu bảng tuyến bị ẩn, thêm một mục với các giá trị ở trên và áp dụng. Nên xem hướng dẫn cho đúng kiểu máy của bạn, vì cùng một chức năng đã chuyển chỗ nhiều lần giữa các bản phát hành. Hãy để ý cách diễn đạt chính xác của mục bạn lưu, vì một mục trong bảng hiếm khi cho biết màn hình nào đã tạo ra nó.

Đây không phải là cùng một tính năng như khi chính FRITZ!Box kết thúc một VPN. Một tuyến trỏ tới thiết bị khác; VPN tích hợp chính là thiết bị đó.

Cổng phải định tuyến, không chỉ đến được

Một máy chủ đến được mạng từ xa không tự động trở thành bộ định tuyến cho phần còn lại của LAN. Hộp VPN cần bật chuyển tiếp IP, một chính sách tường lửa cho phép chuyển tiếp giữa giao diện LAN và đường hầm, và một tuyến gửi phản hồi trở lại LAN thay vì đưa nó ra ngoài theo đường mặc định của chính nó. Bật chuyển tiếp mà quên quy tắc tường lửa là cách sửa nửa vời phổ biến nhất, và từ phía máy khách nó trông giống như lỗi định tuyến.

Hãy kiểm tra từ phía FRITZ!Box bằng cách ping địa chỉ LAN của hộp VPN, rồi từ một máy khách bằng cách theo dõi tuyến tới một địa chỉ từ xa và xác nhận rằng chặng thứ hai chính là hộp đó.

Đường quay về và các dải chồng lấn

Phía từ xa cần một tuyến cho 192.168.50.0/24 quay lại qua đường hầm, trừ khi bạn cố ý dịch nguồn tại hộp VPN. Giữ nguyên và dịch là hai chính sách khác nhau với nhật ký khác nhau và quy tắc truy cập khác nhau, và tuyến tĩnh bạn vừa thêm không chọn giữa hai cách đó. Các dải chồng lấn là vấn đề khó hơn: nếu LAN của bạn và mạng từ xa dùng chung một tiền tố, một tuyến máy chủ không thể phân biệt chúng, và quy hoạch địa chỉ phải thay đổi.

Thêm một tuyến cụ thể hơn ở nơi khác trong LAN, hoặc một máy khách VPN thứ hai trên máy tính xách tay, sẽ âm thầm thắng mục trong FRITZ!Box.

Hãy thử từ một máy khách bình thường, rồi thử cả trường hợp hỏng

Chạy thử nghiệm từ một máy LAN được cấp phép thông thường, không phải từ hộp VPN, vì hộp đã hoạt động rồi và không chứng minh được gì. Hãy đến một dịch vụ từ xa và kiểm tra phản hồi, rồi xác nhận rằng các đích internet không liên quan vẫn đi theo tuyến mặc định và không bị kéo qua đường hầm. Thay tuyến mặc định để đến một mạng con là thay đổi lớn hơn nhiều so với mục ba trường mà bạn bắt đầu.

Cuối cùng, ngắt kết nối VPN và xem điều gì xảy ra. Tuyến tĩnh vẫn nằm trong bảng trong khi cổng của nó đã mất đường dẫn được bảo vệ, nên lưu lượng thất bại tại hộp thay vì rơi trở lại internet, và mọi yêu cầu chặn lưu lượng dự phòng thuộc về chính sách của hộp, không phải một tuyến đã lưu.