FRITZ!Box LAN-LAN VPN：设备为何拿不到远端 IP
在 LAN-LAN VPN 中，两个网络连在一起，设备保留自己的地址。只有拨号连接才会从远端地址池分配地址。
笔记本电脑连上 FRITZ!Box 的 VPN，也能访问另一站点的文件共享，但你试过的每个工具里显示的仍是它自己的地址。于是人们去找一个分配远端 IP 的设置，却永远找不到，因为根本没有可找的东西。在 LAN-LAN 连接中，两台路由器把各自的网络连起来，每台设备保留原有的地址。只有拨号连接才会从远端地址池租用地址。
接下来要讲的是如何区分这两种安排，以及远端实际看到的是什么。
一种连接把网络连起来，另一种借出地址
LAN-LAN 链路是两个子网之间的路由，而不是远程桌面。你的笔记本把数据包发往 192.168.188.40，FRITZ!Box 识别出该目的地可经隧道到达，数据包带着你原来的源地址原样抵达。这条路径上没有任何一环需要第二个地址，也没有任何一环分配地址。
拨号配置文件的作用相当于路由器的远端扩展。连上来的设备会从目标 LAN 得到一个地址，所以它会出现在那边的租约表里。同一条隧道，问题不同：一种设计扩展网络，另一种把访客放进去。
| Arrangement | Which device asks | Address the device keeps | What the far site sees |
|---|---|---|---|
| LAN-LAN coupling | any host behind either router | its own local address, unchanged | an address from your subnet, or the router address if the link translates |
| Dial-in profile | the single device that connects | a lease from the remote pool | an address inside the remote LAN |
远端主机看到什么，取决于地址转换
在普通路由下，远端机器记录的是你真实的本地地址，例如 192.168.178.20，它的回包必须经隧道返回。只有当远端路由器持有你整个子网的路由时，这个回包才有效，而这条路由通常由该连接自动为你安装。
如果链路改为改写源地址，远端主机看到的是隧道后方所有设备共用的一个地址：路由器自己的 LAN 地址。两种设计都正当，而且都让我的 IP 是什么这个问题可以回答，与 VPN 是否在线毫无关系。
不用猜，一分钟就能确认。在请求进行中时，在另一站点的机器上打开连接表或访问日志，读来源那一列。地址属于发送方子网，说明路由已经就位；只有一个反复出现的路由器地址，说明链路在做转换。把结果记进笔记，因为它决定远端访问规则应当放行一个子网还是一台主机。
这些值在 FRITZ!OS 里的位置
在较新的 FRITZ!OS 中，向导位于 Internet、Freigaben、VPN 之下，藏在新建连接的按钮后面。第一个选择是你要的形态：一台 FRITZ!Box 连另一台 FRITZ!Box，还是一台电脑拨入。
- 选择两台路由器的选项并继续。
- 在接下来的 Netzwerkeinstellungen 页面，为远端 IPv4 网络命名，例如 192.168.188.0/24，并设置共享的 VPN 密钥。
- 完成向导，然后在另一台 FRITZ!Box 上导入它提供的配置文件。
对这个症状来说，关键字段是远端网络。它告诉路由器哪些目的地属于隧道远端；密钥只决定隧道能否建立。那里填错网络，结果是沉默，而不是地址。
当远端坚持要求远端身份时
有些服务只接受地址落在其自身子网内的客户端，任何路由都无法满足它们。那是对方的策略，解决办法是换一种连接类型，而不是再调一个隧道设置。
为那一台设备添加拨号配置文件，其余设备继续使用该连接。这样设备会从远端地址池租到地址，并出现在远端路由器的连接列表里，正是该服务想看到的。同一台路由器上可以并存两个配置文件，前提是各有自己的共享密钥和网络条目。
按顺序做这些检查
在切换模式之前，先确认基础项，因为 从未生效过的连接，看起来和正常工作的连接一模一样。
- 比较两个 LAN 前缀。两个网络都用 192.168.178.0/24 时无法路由，解决办法是给其中一侧重新编号。
- 在每台路由器上查看 VPN 概览，确认远端网络显示为已连接。
- 从远端站点的一台主机请求该服务，读取它记录的源地址。正是这个观察回答了最初的问题。
从客户端测试，绝不要用路由器自己的 ping 页面：路由器可能经其 LAN 主机无法使用的路径到达目的地，所以那里 ping 成功并不能证明设备的情况。
如果两个方向都通，设备却仍显示自己的地址，说明连接在正常工作。只有在确实需要远端身份时才用拨号配置文件，并把两种安排记录在子网规划旁边。