{"id":53572,"date":"2019-12-05T00:00:00","date_gmt":"2019-12-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya"},"modified":"2020-02-18T14:01:29","modified_gmt":"2020-02-18T11:01:29","slug":"chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","title":{"rendered":"Hvad sker der under forbindelser indenfor og udenfor VPN-tunnelen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Fra e-mails til Tucha's tekniske support opst\u00e5r der rigtige artikler. For nylig kontaktede en kunde os for at f\u00e5 afklaring p\u00e5, hvad der sker ved forbindelser inden for VPN-tunnelen mellem brugerens kontor og muligheden i skyen, samt ved forbindelser uden for VPN-tunnelen. Derfor er hele teksten nedenfor et \u00e6gte brev, som vi sendte til en af vores kunder som svar p\u00e5 deres sp\u00f8rgsm\u00e5l. Selvf\u00f8lgelig har vi \u00e6ndret IP-adresserne for ikke at anonymisere kunden. Men ja, Tucha's tekniske support er virkelig kendt for sine omfattende svar og indholdsrige breve. \ud83d\ude42<\/p>\n

Selvf\u00f8lgelig forst\u00e5r vi, at denne artikel ikke vil v\u00e6re en \u00e5benbaring for mange. Men da der fra tid til anden dukker artikler op p\u00e5 Habr for begyndere administratorer, og da denne artikel stammer fra en \u00e6gte e-mail til en \u00e6gte kunde, vil vi alligevel dele disse oplysninger her. Der er en stor sandsynlighed for, at det vil v\u00e6re nyttigt for nogen.
\nDerfor forklarer vi detaljeret, hvad der sker mellem serveren i skyen og kontoret, hvis de er forbundet via et site-to-site netv\u00e6rk. Bem\u00e6rk, at nogle tjenester kun er tilg\u00e6ngelige fra kontoret, mens andre kan tilg\u00e5s fra hvor som helst p\u00e5 internettet.<\/p>\n

Lad os med det samme forklare, at vores kunde \u00f8nskede, at serveren 192.168.A.1<\/b> skulle kunne tilg\u00e5s fra hvor som helst via RDP, ved at forbinde til A.A.A.2:13389<\/b>, mens de andre tjenester kun kunne tilg\u00e5s fra kontoret (192.168.B.0\/24)<\/b>, der er forbundet gennem VPN<\/a>. Derudover havde kunden oprindeligt indstillet, at maskinen 192.168.B.2 <\/b>i kontoret ogs\u00e5 kunne n\u00e5s via RDP fra hvor som helst, ved at forbinde til B.B.B.1:11111<\/b>. Vi hjalp med at organisere IPSec-forbindelserne mellem skyen og kontoret, og kundens IT-specialist begyndte at stille sp\u00f8rgsm\u00e5l om, hvad der ville ske i de forskellige tilf\u00e6lde. For at besvare alle disse sp\u00f8rgsm\u00e5l skrev vi alt det, du kan l\u00e6se nedenfor.
\n<\/a><\/noindex>
\n\"Hvad<\/p>\n

Lad os nu se n\u00e6rmere p\u00e5 disse processer.<\/p>\n

<\/p>\n

Position \u00e9t<\/h3>\n

\nN\u00e5r noget sendes fra 192.168.B.0\/24<\/b> i 192.168.A.0\/24<\/b> eller fra 192.168.A.0\/24<\/b> i 192.168.B.0\/24<\/b>, lander det i VPN. Dette betyder, at denne pakke bliver yderligere krypteret og sendt mellem B.B.B.1<\/b> og A.A.A.1<\/b>, men 192.168.A.1<\/b> ser pakken netop fra 192.168.B.1<\/b>. De kan kommunikere med hinanden via enhver protokol. Omvendte svar sendes ogs\u00e5 gennem VPN, hvilket betyder, at pakken fra 192.168.A.1<\/b> for 192.168.B.1<\/b> vil blive sendt som en ESP-datagram. A.A.A.1<\/b> og f\u00e5 en fungerende kommando. B.B.B.1<\/b>, which the router on the other side will unfold, extracting that packet and returning it to 192.168.B.1<\/b> like the packet from 192.168.A.1<\/b>.<\/p>\n

A specific example:<\/p>\n

1) 192.168.B.1<\/b> tilg\u00e5r 192.168.A.1<\/b>, wants to establish a TCP connection with 192.168.A.1:3389<\/b>;<\/p>\n

2) 192.168.B.1<\/b> sends a connection establishment request from 192.168.B.1:55555<\/b> (the port number for feedback is chosen by it itself, here and further we will use the number 55555 as an example of such a port number that the system selects when forming a TCP connection) to 192.168.A.1:3389<\/b>;<\/p>\n

3) the operating system that runs on the computer with the address 192.168.B.1<\/b>, decides to forward this packet to the gateway address of the router (192.168.B.254<\/b> in our case), because it has no other more specific routes for 192.168.A.1<\/b>, it therefore forwards the packet via the default route (0.0.0.0\/0);<\/p>\n

4) for this it attempts to find the MAC address for the IP address 192.168.B.254 <\/b>in the ARP protocol cache table. If it is not found, it sends from the address 192.168.B.1<\/b> a broadcast who-has request to the network 192.168.B.0\/24<\/b>. N\u00e5r 192.168.B.254<\/b> in response sends its MAC address to it, the system forwards the Ethernet packet to it and records this information in its cache table;<\/p>\n

5) the router receives this packet and decides where to forward it: it has a policy stating that it must route all packets between 192.168.B.0\/24<\/b> og 192.168.A.0\/24<\/b> via a VPN connection between B.B.B.1<\/b> og A.A.A.1<\/b>;<\/p>\n

6) the router forms an ESP datagram from B.B.B.1<\/b> og f\u00e5 en fungerende kommando. A.A.A.1<\/b>;<\/p>\n

7) the router decides to whom to send this packet, it forwards it to, let's say, B.B.B.254<\/b> (the gateway of the internet provider), because it has no more specific routes to A.A.A.1<\/b>, than 0.0.0.0\/0;<\/p>\n

8) just as already mentioned, it finds the MAC address for B.B.B.254<\/b> and forwards the packet to the internet provider's gateway;<\/p>\n

9) internet providers transmit the ESP datagram over their networks from B.B.B.1<\/b> og f\u00e5 en fungerende kommando. A.A.A.1<\/b>;<\/p>\n

10) the virtual router on A.A.A.1<\/b> receives this datagram, decrypts it and obtains the packet from 192.168.B.1:55555<\/b> for 192.168.A.1:3389<\/b>;<\/p>\n

11) the virtual router checks to whom to forward it, finds in the routing table the network 192.168.A.0\/24<\/b> and sends it directly to 192.168.A.1<\/b>, as it has the interface 192.168.A.254\/24<\/b>;<\/p>\n

12) to do this, the virtual router finds the MAC address for 192.168.A.1<\/b> and sends this packet to it via the virtual Ethernet network;<\/p>\n

13) 192.168.A.1<\/b> receives this packet on port 3389, agrees to establish a connection and forms a response packet from 192.168.A.1:3389<\/b> og f\u00e5 en fungerende kommando. 192.168.B.1:55555<\/b>;<\/p>\n

14) its system forwards this packet to the gateway address of the virtual router (192.168.A.254<\/b> in our case), because it has no other more specific routes for 192.168.B.1<\/b>, it has no other, thus it must forward the packet via the default route (0.0.0.0\/0);<\/p>\n

15) ligesom i de tidligere tilf\u00e6lde finder systemet, der k\u00f8rer p\u00e5 serveren med adressen 192.168.A.1<\/b>, den MAC-adresse 192.168.A.254<\/b>, da den er p\u00e5 samme netv\u00e6rk som dens interface 192.168.A.1\/24<\/b>;<\/p>\n

16) den virtuelle router modtager dette paket og beslutter, hvor det skal sendes: den har en politik, if\u00f8lge hvilken den skal ramme alle pakker mellem 192.168.A.0\/24<\/b> og 192.168.B.0\/24<\/b> via a VPN connection between A.A.A.1<\/b> og B.B.B.1<\/b>;<\/p>\n

17) den virtuelle router former en ESP-datagram fra A.A.A.1<\/b> for B.B.B.1<\/b>;<\/p>\n

18) den virtuelle router beslutter, hvem der skal have dette paket, og sender det til A.A.A.254<\/b> (gateway til internetudbyderen, i dette tilf\u00e6lde er det ogs\u00e5 os), fordi der ikke er mere specifikke ruter til B.B.B.1<\/b>, than 0.0.0.0\/0;<\/p>\n

19) internetudbydere sender ESP-datagrammet gennem deres netv\u00e6rk med A.A.A.1<\/b> og f\u00e5 en fungerende kommando. B.B.B.1<\/b>;<\/p>\n

20) routeren ved B.B.B.1 <\/b>receives this datagram, decrypts it and obtains the packet from 192.168.A.1:3389<\/b> for 192.168.B.1:55555<\/b>;<\/p>\n

21) den forst\u00e5r, at det skal sendes specifikt til 192.168.B.1<\/b>, da den er p\u00e5 samme netv\u00e6rk som den, s\u00e5 den har en tilsvarende post i routingtabellen, der tvinger den til at sende pakker for hele 192.168.B.0\/24<\/b> direkte;<\/p>\n

22) routeren finder MAC-adressen for 192.168.B.1<\/b> og sender dette paket til ham;<\/p>\n

23) operativsystemet p\u00e5 computeren med adressen 192.168.B.1<\/b> modtager pakken fra 192.168.A.1:3389<\/b> for 192.168.B.1:55555<\/b> og initierer de n\u00e6ste skridt til etablering af en TCP-forbindelse.<\/p>\n

I dette eksempel er det nogenlunde kortfattet og forenklet (og her kan man huske en masse detaljer) hvad der sker p\u00e5 niveauerne 2-4. Niveauerne 1, 5-7 er ikke d\u00e6kket.<\/p>\n

Position to<\/h3>\n

\nHvis med 192.168.B.0\/24<\/b> noget sendes direkte til A.A.A.2<\/b>, det g\u00e5r ikke gennem VPN, men direkte. Det vil sige, hvis en bruger med adressen 192.168.B.1<\/b> tilg\u00e5r A.A.A.2:13389<\/b>, dette paket nat fra adressen B.B.B.1<\/b>, g\u00e5r til A.A.A.2<\/b>, og der routeren modtager det og sender det til 192.168.A.1<\/b>. 192.168.A.1<\/b> ved ikke noget om 192.168.B.1<\/b>, den ser pakken fra B.B.B.1<\/b>, da den nat\u00b4ede den. Derfor g\u00e5r svaret p\u00e5 denne foresp\u00f8rgsel gennem den almindelige rute, den nat\u00b4es p\u00e5 samme m\u00e5de fra adressen A.A.A.2 <\/b>og g\u00e5r til B.B.B.1<\/b>, og den router giver dette svar til 192.168.B.1<\/b>, den ser svaret fra A.A.A.2<\/b>, som den blev tilg\u00e5et.<\/p>\n

A specific example:<\/p>\n

1) 192.168.B.1<\/b> tilg\u00e5r A.A.A.2<\/b>, wants to establish a TCP connection with A.A.A.2:13389<\/b>;<\/p>\n

2) 192.168.B.1<\/b> sends a connection establishment request from 192.168.B.1:55555<\/b> (dette nummer, ligesom i det tidligere eksempel, kan v\u00e6re et andet) til A.A.A.2:13389<\/b>;<\/p>\n

3) the operating system that runs on the computer with the address 192.168.B.1<\/b>, decides to forward this packet to the gateway address of the router (192.168.B.254<\/b> in our case), because it has no other more specific routes for A.A.A.2<\/b>, den har ikke, og derfor sender den packets gennem standardruten (0.0.0.0\/0);<\/p>\n

4) for dette fors\u00f8ger den, som n\u00e6vnt i det tidligere eksempel, at finde MAC-adressen for IP-adressen 192.168.B.254<\/b> in the ARP protocol cache table. If it is not found, it sends from the address 192.168.B.1<\/b> a broadcast who-has request to the network 192.168.B.0\/24<\/b>. N\u00e5r 192.168.B.254<\/b> in response sends its MAC address to it, the system forwards the Ethernet packet to it and records this information in its cache table;<\/p>\n

5) routeren modtager dette paket og beslutter, hvor det skal sendes: den har en politik, if\u00f8lge hvilken den skal natte (erstatte den omvendte adresse) alle pakker fra 192.168.B.0\/24<\/b> til andre noder i internettet;<\/p>\n

6) da denne politik indeb\u00e6rer, at den omvendte adresse skal matche den underordnede adresse p\u00e5 det interface, som pakken vil blive sendt gennem, skal routeren f\u00f8rst afg\u00f8re, hvem den pr\u00e6cist skal sende denne pakke til, og den, som i det tidligere eksempel, skal sende den til B.B.B.254<\/b> (the gateway of the internet provider), because it has no more specific routes to A.A.A.2<\/b>, than 0.0.0.0\/0;<\/p>\n

7) derfor \u00e6ndrer routeren den omvendte adresse for pakken, fra nu af er pakken fra B.B.B.1:44444<\/b> (portnummeret kan selvf\u00f8lgelig v\u00e6re et andet) til A.A.A.2:13389<\/b>;<\/p>\n

8) routeren husker, hvad den har gjort, s\u00e5 n\u00e5r der kommer svar fra A.A.A.2:13389<\/b> pull-requesten p\u00e5 GitHub B.B.B.1:44444<\/b> vil den vide, at den skal \u00e6ndre modtagerens adresse og port til 192.168.B.1:55555<\/b>.<\/p>\n

9) nu skal routeren sende den til internetudbyderens netv\u00e6rk via B.B.B.254<\/b>, derfor, ligesom vi allerede har n\u00e6vnt, finder den MAC-adressen for B.B.B.254 <\/b>and forwards the packet to the internet provider's gateway;<\/p>\n

10) internetudbydere sender pakken gennem deres netv\u00e6rk fra B.B.B.1<\/b> og f\u00e5 en fungerende kommando. A.A.A.2<\/b>;<\/p>\n

11) den virtuelle router p\u00e5 A.A.A.2<\/b> modtager denne pakke p\u00e5 port 13389;<\/p>\n

12) p\u00e5 den virtuelle router findes der en regel, der fastsl\u00e5r, at pakker, der modtages fra enhver afsender p\u00e5 denne port, skal sendes til 192.168.A.1:3389<\/b>;<\/p>\n

13) den virtuelle router finder i routingtabellen netv\u00e6rket 192.168.A.0\/24<\/b> og sender det direkte til 192.168.A.<\/b>1, da den har et interface 192.168.A.254\/24<\/b>;<\/p>\n

14) for dette finder den virtuelle router MAC-adressen for 192.168.A.1<\/b> and sends this packet to it via the virtual Ethernet network;<\/p>\n

15) 192.168.A.1<\/b> receives this packet on port 3389, agrees to establish a connection and forms a response packet from 192.168.A.1:3389<\/b> og f\u00e5 en fungerende kommando. B.B.B.1:44444<\/b>;<\/p>\n

16) dens system sender denne pakke til gateway-adressen p\u00e5 den virtuelle router (192.168.A.254<\/b> in our case), because it has no other more specific routes for B.B.B.1<\/b>, it has no other, thus it must forward the packet via the default route (0.0.0.0\/0);<\/p>\n

17) n\u00f8jagtig som i de tidligere tilf\u00e6lde, systemet der k\u00f8rer p\u00e5 serveren med adressen 192.168.A.1<\/b>, den MAC-adresse 192.168.A.254<\/b>, da den er p\u00e5 samme netv\u00e6rk som dens interface 192.168.A.1\/24<\/b>;<\/p>\n

18) den virtuelle router modtager denne pakke. Det b\u00f8r bem\u00e6rkes, at den husker, at den modtog en pakke fra A.A.A.2:13389<\/b> og \u00e6ndrede modtagerens adresse og port til B.B.B.1:44444<\/b> , derfor, for pakken fra 192.168.A.1:3389<\/b>\u00e6ndrer den afsenderens adresse til 192.168.A.1:3389 <\/b>for B.B.B.1:44444<\/b> 19) den virtuelle router beslutter, hvem den skal sende denne pakke til, og sender den til A.A.A.2:13389<\/b>;<\/p>\n

20) internetudbydere sender pakken med A.A.A.254<\/b> (gateway til internetudbyderen, i dette tilf\u00e6lde er det ogs\u00e5 os), fordi der ikke er mere specifikke ruter til B.B.B.1<\/b>, than 0.0.0.0\/0;<\/p>\n

21) routeren p\u00e5 A.A.A.2<\/b> og f\u00e5 en fungerende kommando. B.B.B.1<\/b>;<\/p>\n

modtager denne pakke og husker, at n\u00e5r den sendte en pakke fra B.B.B.1<\/b> , \u00e6ndrede den afsenderens adresse og port til 192.168.B.1:55555<\/b> for A.A.A.2:13389<\/b>, s\u00e5 det er et svar, der skal sendes til B.B.B.1:44444<\/b>(der findes faktisk flere kontroller, men vi g\u00e5r ikke ind i det); 192.168.B.1:55555<\/b> 22) den forst\u00e5r, at den skal sendes direkte til<\/p>\n

, da den befinder sig i det samme netv\u00e6rk, s\u00e5 den har en tilsvarende post i routingtabellen, der tvinger den til at sende pakker til alle 192.168.B.1<\/b>, da den er p\u00e5 samme netv\u00e6rk som ham, har han derfor en tilsvarende post i routingtabellen, der f\u00e5r pakker til at blive sendt til hele 192.168.B.0\/24 <\/b>direkte;<\/p>\n

23) routeren finder MAC-adressen for 192.168.B.1<\/b> og sender dette paket til ham;<\/p>\n

24) operativsystemet p\u00e5 computeren med adressen 192.168.B.1<\/b> modtager pakken fra A.A.A.2:13389<\/b> for 192.168.B.1:55555<\/b> og initierer de n\u00e6ste skridt til etablering af en TCP-forbindelse.<\/p>\n

Det skal bem\u00e6rkes, at i dette tilf\u00e6lde ved computeren med adressen 192.168.B.1<\/b> intet om serveren med adressen 192.168.A.1<\/b>, den kommunikerer kun med A.A.A.2<\/b>. P\u00e5 samme m\u00e5de ved serveren med adressen 192.168.A.1<\/b> intet om computeren med adressen 192.168.B.1<\/b>. Den mener, at den er blevet tilsluttet fra adressen B.B.B.1<\/b>, og den ved ikke noget ellers.<\/p>\n

Det skal ogs\u00e5 bem\u00e6rkes, at hvis denne computer henvender sig til A.A.A.2:1540<\/b>, vil forbindelsen ikke blive etableret, fordi forbindelser til port 1540 ikke er konfigureret p\u00e5 den virtuelle router, selvom der p\u00e5 nogle servere i det virtuelle netv\u00e6rk 192.168.A.0\/24<\/b> (for eksempel p\u00e5 serveren med adressen 192.168.A.1<\/b>) er nogle tjenester, der venter p\u00e5 forbindelser p\u00e5 denne port. Hvis brugeren af computeren med adressen 192.168.B.1<\/b> absolut skal oprette forbindelse til denne tjeneste, skal han bruge en VPN, dvs. henvende sig direkte til 192.168.A.1:1540<\/b>.<\/p>\n

Det skal understreges, at enhver fors\u00f8g p\u00e5 at oprette forbindelse til A.A.A.1<\/b> (undtagen IPSec-forbindelse fra B.B.B.1<\/b> vil ikke v\u00e6re vellykket. Enhver fors\u00f8g p\u00e5 at oprette forbindelser til A.A.A.2<\/b>, bortset fra forbindelser til port 13389, vil heller ikke v\u00e6re vellykket.
\nLad os ogs\u00e5 bem\u00e6rke, at hvis der til A.A.A.2 <\/b>henvender sig nogen anden (for eksempel C.C.C.C), vil alt det, der er angivet i punkterne 10-20, ogs\u00e5 g\u00e6lde for ham. Hvad der sker f\u00f8r og efter dette afh\u00e6nger af, hvad der specifikt er bag denne C.C.C.C. Vi ejer ikke s\u00e5danne informationer, s\u00e5 vi anbefaler at s\u00f8ge r\u00e5dgivning hos administratorerne af noden med adressen C.C.C.C.<\/p>\n

Position tre<\/h3>\n

\nOg omvendt, hvis der fra 192.168.A.1 <\/b>sendes noget til en hvilken som helst port, der er konfigureret til at videresende indad til B.B.B.1 (for eksempel 11111), kommer det heller ikke ind i VPN, men videresendes blot fra A.A.A.1<\/b> og kommer ind i B.B.B.1<\/b>, som s\u00e5 videresender det et sted hen, lad os sige, 192.168.B.2:3389<\/b>. Den ser denne pakke ikke fra 192.168.A.1<\/b>, men fra A.A.A.1<\/b>. Og, n\u00e5r 192.168.B.2<\/b> svarer, g\u00e5r pakken fra B.B.B.1<\/b> og f\u00e5 en fungerende kommando. A.A.A.1,<\/b> og senere n\u00e5r den initiatoren af forbindelsen \u2014 192.168.A.1<\/b>.<\/p>\n

A specific example:<\/p>\n

1) 192.168.A.1<\/b> tilg\u00e5r B.B.B.1<\/b>, wants to establish a TCP connection with B.B.B.1:11111<\/b>;<\/p>\n

2) 192.168.A.1<\/b> sends a connection establishment request from 192.168.A.1:55555<\/b> (dette nummer, ligesom i det tidligere eksempel, kan v\u00e6re et andet) til B.B.B.1:11111<\/b>;<\/p>\n

3) operativsystemet, der k\u00f8rer p\u00e5 serveren med adressen 192.168.A.1<\/b>, decides to forward this packet to the gateway address of the router (192.168.A.254<\/b> in our case), because it has no other more specific routes for B.B.B.1<\/b>, it therefore forwards the packet via the default route (0.0.0.0\/0);<\/p>\n

4) for dette fors\u00f8ger det, som vi n\u00e6vnte i de tidligere eksempler, at finde MAC-adressen for IP-adressen 192.168.A.254<\/b> in the ARP protocol cache table. If it is not found, it sends from the address 192.168.A.1<\/b> a broadcast who-has request to the network 192.168.A.0\/24<\/b>. N\u00e5r 192.168.A.254<\/b> og i svaret sender den sin egen MAC-adresse til den, systemet sender et Ethernet-pakke til den og registrerer denne information i sin cache-tabel;<\/p>\n

5) Den virtuelle router modtager denne pakke og beslutter, hvor den skal sendes: den har en politik, hvorefter den skal \u00e6ndre (ved at erstatte den omvendte adresse) alle pakker fra 192.168.A.0\/24<\/b> til andre noder i internettet;<\/p>\n

6) da denne politik indeb\u00e6rer, at den omvendte adresse skal stemme overens med den laveste adresse p\u00e5 det interface, som pakken skal sendes gennem, beslutter den virtuelle router f\u00f8rst, hvem pakken pr\u00e6cist skal sendes til, og den, ligesom i det tidligere eksempel, skal sende den til A.A.A.254<\/b> (gateway til internetudbyderen, i dette tilf\u00e6lde er det ogs\u00e5 os), fordi der ikke er mere specifikke ruter til B.B.B.1<\/b>, than 0.0.0.0\/0;<\/p>\n

7) det betyder, at den virtuelle router \u00e6ndrer den omvendte adresse p\u00e5 pakken, fra nu af er dette pakken fra A.A.A.1:44444<\/b> (portnummeret kan selvf\u00f8lgelig v\u00e6re et andet) til B.B.B.1:11111<\/b>;<\/p>\n

8) Den virtuelle router husker, hvad den har gjort, derfor, n\u00e5r den modtager fra B.B.B.1:11111<\/b> for A.A.A.1:44444<\/b> vil den vide, at den skal \u00e6ndre modtagerens adresse og port til 192.168.A.1:55555<\/b>.<\/p>\n

9) nu skal den virtuelle router sende den til internetudbyderens netv\u00e6rk gennem A.A.A.254<\/b>, s\u00e5 ligesom vi allerede har n\u00e6vnt, finder den MAC-adressen for A.A.A.254 <\/b>and forwards the packet to the internet provider's gateway;<\/p>\n

10) internetudbydere sender pakken gennem deres netv\u00e6rk fra A.A.A.1 p\u00e5 B.B.B.1<\/b>;<\/p>\n

11) Routeren p\u00e5 B.B.B.1<\/b> modtager denne pakke p\u00e5 port 11111;<\/p>\n

12) p\u00e5 den virtuelle router findes der en regel, der angiver, at pakker, der modtages fra en som helst afsender p\u00e5 denne port, skal sendes til 192.168.B.2:3389<\/b>;<\/p>\n

13) Routeren finder i routingtabellen netv\u00e6rket 192.168.B.0\/24<\/b> and sends it directly to 192.168.B.2<\/b>, as it has the interface 192.168.B.254\/24<\/b>;<\/p>\n

14) for dette finder den virtuelle router MAC-adressen for 192.168.B.2<\/b> and sends this packet to it via the virtual Ethernet network;<\/p>\n

15) 192.168.B.2<\/b> receives this packet on port 3389, agrees to establish a connection and forms a response packet from 192.168.B.2:3389<\/b> og f\u00e5 en fungerende kommando. A.A.A.1:44444<\/b>;<\/p>\n

16) dens system sender denne pakke til routerens gatewayadresse (192.168.B.254<\/b> in our case), because it has no other more specific routes for A.A.A.1<\/b>, it has no other, thus it must forward the packet via the default route (0.0.0.0\/0);<\/p>\n

17) ligesom i de tidligere tilf\u00e6lde, fungerer systemet, der k\u00f8rer p\u00e5 computeren med adressen 192.168.B.2<\/b>, den MAC-adresse 192.168.B.254<\/b>, da den er p\u00e5 samme netv\u00e6rk som dens interface 192.168.B.2\/24<\/b>;<\/p>\n

18) Routeren modtager denne pakke. Det skal bem\u00e6rkes, at den husker, at den modtog p\u00e5 B.B.B.1:11111<\/b> og \u00e6ndrede modtagerens adresse og port til A.A.A.1 <\/b>, derfor, for pakken fra 192.168.B.2:3389<\/b>\u00e6ndrer den afsenderens adresse til 192.168.B.2:3389<\/b> for A.A.A.1:44444<\/b> 19) den virtuelle router beslutter, hvem den skal sende denne pakke til, og sender den til B.B.B.1:11111<\/b>;<\/p>\n

19) Routeren beslutter, hvem den skal sende denne pakke til. Den sender den til, lad os sige, B.B.B.254 <\/b>(internetudbyderens gateway, hvis pr\u00e6cise adresse vi ikke kender), fordi der ikke er mere specifikke ruter til A.A.A.1<\/b>, than 0.0.0.0\/0;<\/p>\n

21) routeren p\u00e5 B.B.B.1<\/b> og f\u00e5 en fungerende kommando. A.A.A.1<\/b>;<\/p>\n

21) Den virtuelle router p\u00e5 A.A.A.1 <\/b>, \u00e6ndrede den afsenderens adresse og port til 192.168.A.1:55555<\/b> for B.B.B.1:11111<\/b>, s\u00e5 det er et svar, der skal sendes til A.A.A.1:44444<\/b>. Det betyder, at dette er svaret, som skal sendes til 192.168.A.1:55555<\/b> (faktisk, som vi allerede har n\u00e6vnt i det tidligere eksempel, er der ogs\u00e5 flere tjek, men denne gang g\u00e5r vi ikke ind i dem);<\/p>\n

22) den forst\u00e5r, at den skal sende direkte til 192.168.A.1<\/b>, da den er i samme netv\u00e6rk, s\u00e5 den har et tilsvarende opslag i routingtabellen, der f\u00e5r den til at sende pakker til hele 192.168.A.0\/24<\/b> direkte;<\/p>\n

23) routeren finder MAC-adressen for 192.168.A.1<\/b> og sender dette paket til ham;<\/p>\n

24) operativsystemet p\u00e5 serveren med adressen 192.168.A.1<\/b> modtager pakken fra B.B.B.1:1111<\/b>1 for 192.168.A.1:55555 <\/b>og initierer de n\u00e6ste skridt til etablering af en TCP-forbindelse.<\/p>\n

Ligesom i det tidligere tilf\u00e6lde, i dette tilf\u00e6lde ved serveren med adressen 192.168.A.1<\/b> intet om computeren med adressen 192.168.B.1<\/b>, den kommunikerer kun med B.B.B.1<\/b>. Computeren med adressen 192.168.B.1<\/b> ved heller ikke noget om serveren med adressen 192.168.A.1<\/b>. Den mener, at den er blevet tilsluttet fra adressen A.A.A.1<\/b>, og resten er skjult for ham.<\/p>\n

Output<\/h3>\n

\nS\u00e5dan foreg\u00e5r det, n\u00e5r der etableres forbindelser indenfor VPN-tunnelen mellem kundens kontor og cloud-milj\u00f8et, samt ved forbindelser udenfor VPN-tunnelen. Hvis du har sp\u00f8rgsm\u00e5l eller har brug for vores hj\u00e6lp til at l\u00f8se cloud-udfordringer, er du velkommen til at kontakte os 24\/7.<\/a><\/noindex>
\n
Kilde: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0437 \u043f\u0438\u0441\u0435\u043c \u0432 \u0441\u043b\u0443\u0436\u0431\u0443 \u0442\u0435\u0445\u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Tucha \u0440\u043e\u0436\u0434\u0430\u044e\u0442\u0441\u044f \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0435 \u0441\u0442\u0430\u0442\u044c\u0438. \u0422\u0430\u043a, \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u043a \u043d\u0430\u043c \u043e\u0431\u0440\u0430\u0442\u0438\u043b\u0441\u044f \u043a\u043b\u0438\u0435\u043d\u0442 \u0441 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u043c \u0440\u0430\u0437\u044a\u044f\u0441\u043d\u0438\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f \u043c\u0435\u0436\u0434\u0443 \u043e\u0444\u0438\u0441\u043e\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0438 \u0441\u0440\u0435\u0434\u043e\u0439 \u0432 \u043e\u0431\u043b\u0430\u043a\u0435, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0435 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432\u0435\u0441\u044c \u0442\u0435\u043a\u0441\u0442, \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u0439 \u043d\u0438\u0436\u0435, \u2014 \u044d\u0442\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0435 \u043f\u0438\u0441\u044c\u043c\u043e, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043c\u044b \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b\u0438 \u043e\u0434\u043d\u043e\u043c\u0443 \u0438\u0437 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0432 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":53573,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-53572","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Hvad sker der ved forbindelser indenfor og udenfor VPN-tunnelen | ProHoster","description":"\u00c6gte artikler opst\u00e5r fra henvendelser til Tuchas tekniske support.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0427\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 \u0438 \u0432\u043d\u0435 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f | ProHoster","og:description":"\u0418\u0437 \u043f\u0438\u0441\u0435\u043c \u0432 \u0441\u043b\u0443\u0436\u0431\u0443 \u0442\u0435\u0445\u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Tucha \u0440\u043e\u0436\u0434\u0430\u044e\u0442\u0441\u044f \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0435 \u0441\u0442\u0430\u0442\u044c\u0438.","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-04T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:29+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53572","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-04 15:17:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:22:50","updated":"2026-02-04 15:17:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/53572","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=53572"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/53572\/revisions"}],"predecessor-version":[{"id":156714,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/53572\/revisions\/156714"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/53573"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=53572"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=53572"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=53572"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}