Aus den Anfragen an den technischen Support von Tucha entstehen echte Artikel. So hat sich kürzlich ein Kunde an uns gewandt mit der Bitte um Aufklärung, was bei Verbindungen innerhalb eines VPN-Tunnels zwischen dem Büro des Nutzers und der Cloud-Umgebung passiert, sowie bei Verbindungen außerhalb des VPN-Tunnels. Daher ist der gesamte Text, der im Folgenden folgt, ein echtes Schreiben, das wir einem unserer Kunden als Antwort auf seine Frage gesendet haben. Natürlich haben wir die IP-Adressen geändert, um den Kunden nicht zu anonymisieren. Aber ja, der technische Support von Tucha ist wirklich bekannt für seine ausführlichen Antworten und inhaltlich wertvollen Schreiben. 🙂
Natürlich verstehen wir, dass diese Artikel für viele keine Neuigkeit sein werden. Aber da auf Habr gelegentlich Artikel für angehende Administratoren erscheinen und dieser Artikel aus einem echten Schreiben an einen echten Kunden hervorgegangen ist, möchten wir diese Informationen dennoch auch hier teilen. Es besteht eine große Wahrscheinlichkeit, dass sie für jemanden nützlich sein werden.
Deshalb erklären wir im Detail, was zwischen dem Server in der Cloud und dem Büro passiert, wenn sie über ein Site-to-Site-Netzwerk verbunden sind. Wir möchten anmerken, dass einige Dienste nur aus dem Büro und andere von überall im Internet verfügbar sind.
Wir erklären sofort, dass unser Kunde wünschte, dass auf den Server 192.168.A.1 von überall aus per RDP zugegriffen werden kann, indem man sich mit A.A.A.2:13389verbindet, während die anderen Dienste nur aus dem Büro (192.168.B.0/24)erreichbar sind, das über VPNverbunden ist. Außerdem war vom Kunden ursprünglich eingerichtet worden, dass auch die Maschine 192.168.B.2 im Büro von überall aus per RDP erreicht werden kann, indem man sich mit B.B.B.1:11111verbindet. Wir haben bei der Organisation der IPSec-Verbindungen zwischen der Cloud und dem Büro geholfen, und der IT-Spezialist des Kunden begann, Fragen zu stellen, was in den verschiedenen Fällen passieren würde. Um auf all diese Fragen zu antworten, haben wir ihm tatsächlich alles geschrieben, was Sie unten lesen können.
Nun lassen Sie uns diese Prozesse genauer betrachten.
Position eins
Wenn etwas aus 192.168.B.0/24 in nach oder von nach in 192.168.B.0/24192.168.A.0/24 , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen und B.B.B.1, aber 192.168.A.1 A.A.A.1 wird das Paket genau von192.168.B.1 192.168.A.1 für wird das Paket genau von . Sie können über beliebige Protokolle miteinander kommunizieren. Die Antworten werden ebenfalls durch das VPN gesendet, was bedeutet, dass das Paket aus B.B.B.1 auf , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischenals ESP-Datagramm von wird das Paket genau von wie ein Paket von 192.168.A.1.
Ein konkretes Beispiel:
1) wird das Paket genau von auf den 192.168.A.1, möchte eine TCP-Verbindung zu 192.168.A.1:3389;
2) wird das Paket genau von sendet eine Anfrage zur Verbindungsherstellung von 192.168.B.1:55555 (die Portnummer für das Loopback wählt er selbst, hier und in der Folge verwenden wir die Nummer 55555 als Beispiel für eine solche Portnummer, die das System bei der Bildung der TCP-Verbindung wählt) zu 192.168.A.1:3389;
3) das Betriebssystem, das auf dem Computer mit der Adresse wird das Paket genau von, beschließt, dieses Paket an die Gateway-Adresse des Routers weiterzuleiten (192.168.B.254 in unserem Fall), weil es keine anderen, spezifischeren Routen für 192.168.A.1, gibt, daher leitet es das Paket über die standardmäßige Route (0.0.0.0/0);
4) dafür versucht es, die MAC-Adresse für die IP-Adresse 192.168.B.254 in der ARP-Protokoll-Cache-Tabelle zu finden. Wenn sie nicht gefunden wird, sendet es von der Adresse wird das Paket genau von eine Broadcast-Who-has-Anfrage an das Netzwerk 192.168.B.0/24. Wenn 192.168.B.254 , antwortet und sendet ihre MAC-Adresse zurück, das System überträgt das Ethernet-Paket für sie und speichert diese Informationen in seiner Cache-Tabelle;
5) der Router empfängt dieses Paket und entscheidet, wohin er es weiterleiten soll: er hat eine Richtlinie, nach der er alle Pakete zwischen 192.168.B.0/24 und nach über eine VPN-Verbindung zwischen , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen und B.B.B.1;
6) der Router bildet ein ESP-Datagramm von , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen auf B.B.B.1;
7) der Router entscheidet, wem er dieses Paket senden soll, er schickt es an, sagen wir, B.B.B.254 (Gateway des Internetanbieters), weil er keine spezifischeren Routen zu B.B.B.1, als 0.0.0.0/0, hat;
8) genau so, wie bereits gesagt wurde, findet er die MAC-Adresse für B.B.B.254 und leitet das Paket zum Gateway des Internetanbieters weiter;
9) Internetanbieter übertragen über ihre Netzwerke das ESP-Datagramm von , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen auf B.B.B.1;
10) der virtuelle Router auf B.B.B.1 empfängt dieses Datagramm, entschlüsselt es und erhält das Paket von 192.168.B.1:55555 für 192.168.A.1:3389;
11) der virtuelle Router prüft, wem er es senden soll, findet in der Routing-Tabelle das Netzwerk nach und sendet es direkt an 192.168.A.1, da er ein Interface hat 192.168.A.254/24;
12) dafür findet der virtuelle Router die MAC-Adresse für 192.168.A.1 und überträgt ihm dieses Paket über ein virtuelles Ethernet-Netz;
13) 192.168.A.1 er erhält dieses Paket am Port 3389, ist bereit, die Verbindung herzustellen, und bildet ein Antwortpaket von 192.168.A.1:3389 auf 192.168.B.1:55555;
14) sein System überträgt dieses Paket an die Gateway-Adresse des virtuellen Routers (192.168.A.254 in unserem Fall), weil es keine anderen, spezifischeren Routen für wird das Paket genau von, er hat keine, daher muss er das Paket über die standardmäßige Route (0.0.0.0/0) weiterleiten;
15) ebenso wie in den vorherigen Fällen, das System, das auf dem Server mit der Adresse arbeitet 192.168.A.1, findet die MAC-Adresse 192.168.A.254, da sie sich im selben Netzwerk wie ihr Interface befindet 192.168.A.1/24;
16) Der virtuelle Router empfängt dieses Paket und entscheidet, wohin er es senden soll: Er hat eine Richtlinie, laut der er alle Pakete zwischen nach und 192.168.B.0/24 über eine VPN-Verbindung zwischen B.B.B.1 und , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen;
17) Der virtuelle Router erstellt ein ESP-Datagramm von B.B.B.1 für , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen;
18) Der virtuelle Router entscheidet, an wen er dieses Paket senden soll, und schickt es an A.A.A.254 (Gateway des Internetanbieters, in diesem Fall sind wir das auch), da es keine spezifischeren Routen zu , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen, als 0.0.0.0/0, hat;
19) Internetanbieter leiten über ihre Netzwerke das ESP-Datagramm mit B.B.B.1 auf , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen;
20) der Router an , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen empfängt dieses Datagramm, entschlüsselt es und erhält das Paket von 192.168.A.1:3389 für 192.168.B.1:55555;
21) er versteht, dass es genau an wird das Paket genau von, da sie sich im selben Netzwerk befinden, bedeutet dies, dass es in der Routing-Tabelle einen entsprechenden Eintrag gibt, der ihn zwingt, Pakete für die gesamte 192.168.B.0/24 direkt zu senden;
22) Der Router findet die MAC-Adresse für wird das Paket genau von und überträgt ihm dieses Paket;
23) Das Betriebssystem auf dem Computer mit der Adresse wird das Paket genau von empfängt das Paket von 192.168.A.1:3389 für 192.168.B.1:55555 und initiiert die nächsten Schritte zur Herstellung einer TCP-Verbindung.
In diesem Beispiel wird kurz und vereinfacht beschrieben, was auf den Ebenen 2-4 passiert. Die Ebenen 1, 5-7 wurden nicht behandelt.
Position zwei
Wenn mit 192.168.B.0/24 etwas direkt an A.A.A.2, wird es nicht über VPN, sondern direkt gesendet. Das heißt, wenn ein Benutzer von der Adresse wird das Paket genau von auf den A.A.A.2:13389, wird dieses Paket von der Adresse , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen, weitergeleitet an A.A.A.2, und dort empfängt der Router es und leitet es an 192.168.A.1. 192.168.A.1 weiß nichts von wird das Paket genau von, er sieht das Paket von , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen, da dieser es gesendet hat. Daher geht die Antwort auf diese Anfrage über die allgemeine Route, sie wird genau so von der Adresse A.A.A.2 und geht an , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen, und dieser Router gibt diese Antwort an wird das Paket genau von, er sieht die Antwort von A.A.A.2, an die er sich gewandt hat.
Ein konkretes Beispiel:
1) wird das Paket genau von auf den A.A.A.2, möchte eine TCP-Verbindung zu A.A.A.2:13389;
2) wird das Paket genau von sendet eine Anfrage zur Verbindungsherstellung von 192.168.B.1:55555 (Diese Nummer kann, wie im vorherigen Beispiel, anders sein) an A.A.A.2:13389;
3) das Betriebssystem, das auf dem Computer mit der Adresse wird das Paket genau von, beschließt, dieses Paket an die Gateway-Adresse des Routers weiterzuleiten (192.168.B.254 in unserem Fall), weil es keine anderen, spezifischeren Routen für A.A.A.2, hat es nicht, was bedeutet, dass es das Paket über die Standardroute (0.0.0.0/0) weiterleitet;
4) Zu diesem Zweck versucht es, wie wir im vorherigen Beispiel erwähnt haben, die MAC-Adresse für die IP-Adresse 192.168.B.254 in der ARP-Protokoll-Cache-Tabelle zu finden. Wenn sie nicht gefunden wird, sendet es von der Adresse wird das Paket genau von eine Broadcast-Who-has-Anfrage an das Netzwerk 192.168.B.0/24. Wenn 192.168.B.254 , antwortet und sendet ihre MAC-Adresse zurück, das System überträgt das Ethernet-Paket für sie und speichert diese Informationen in seiner Cache-Tabelle;
5) Der Router empfängt dieses Paket und entscheidet, wohin er es senden soll: Er hat eine Richtlinie, laut der er alle Pakete von 192.168.B.0/24 an andere Knoten im Internet senden muss;
6) da diese Richtlinie voraussetzt, dass die Rückadresse mit der niedrigeren Adresse der Schnittstelle übereinstimmen muss, über die dieses Paket gesendet wird, entscheidet der Router zunächst, an wen genau er dieses Paket weiterleiten soll. Wie im vorherigen Beispiel muss er es an B.B.B.254 (Gateway des Internetanbieters), weil er keine spezifischeren Routen zu A.A.A.2, als 0.0.0.0/0, hat;
7) daher ändert der Router die Rückadresse des Pakets, ab jetzt kommt das Paket von B.B.B.1:44444 (die Portnummer kann natürlich anders sein) zu A.A.A.2:13389;
8) der Router merkt sich, dass er dies getan hat, das heißt, wenn eine Antwort von A.A.A.2:13389 zu B.B.B.1:44444 eintrifft, wird er wissen, dass er die Adresse und den Port des Empfängers ändern muss auf 192.168.B.1:55555.
9) jetzt muss der Router es an das Netzwerk des Internetanbieters weiterleiten über B.B.B.254, daher findet er, wie bereits erwähnt, die MAC-Adresse für B.B.B.254 und leitet das Paket zum Gateway des Internetanbieters weiter;
10) Internetanbieter leiten das Paket über ihre Netzwerke weiter, das von , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen auf A.A.A.2;
11) der virtuelle Router auf A.A.A.2 nimmt dieses Paket am Port 13389 entgegen;
12) auf dem virtuellen Router gibt es eine Regel, die besagt, dass Pakete, die von einem beliebigen Absender an diesem Port empfangen werden, an 192.168.A.1:3389;
13) der virtuelle Router findet in der Routingtabelle das Netzwerk nach und sendet es direkt an 192.168.A.1, da er eine Schnittstelle hat, 192.168.A.254/24;
14) dafür findet der virtuelle Router die MAC-Adresse für 192.168.A.1 und überträgt ihm dieses Paket über ein virtuelles Ethernet-Netz;
15) 192.168.A.1 er erhält dieses Paket am Port 3389, ist bereit, die Verbindung herzustellen, und bildet ein Antwortpaket von 192.168.A.1:3389 auf B.B.B.1:44444;
16) sein System leitet dieses Paket an die Gateway-Adresse des virtuellen Routers weiter (192.168.A.254 in unserem Fall), weil es keine anderen, spezifischeren Routen für , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen, er hat keine, daher muss er das Paket über die standardmäßige Route (0.0.0.0/0) weiterleiten;
17) genau wie in den vorherigen Fällen erinnert sich das System, das auf dem Server mit der Adresse 192.168.A.1, findet die MAC-Adresse 192.168.A.254, da sie sich im selben Netzwerk wie ihr Interface befindet 192.168.A.1/24;
18) der virtuelle Router empfängt dieses Paket. Es sollte bemerkt werden, dass er sich erinnert, dass er ein Paket von A.A.A.2:13389 empfangen hat, und er hat die Adresse und den Port des Empfängers auf B.B.B.1:44444 geändert, das heißt, er ändert die Absenderadresse auf 192.168.A.1:338919) der virtuelle Router entscheidet, an wen er dieses Paket weiterleiten soll, er sendet es an 192.168.A.1:3389 für B.B.B.1:44444 20) Internetanbieter leiten das Paket über ihre Netzwerke weiter, das mit A.A.A.2:13389;
21) der Router auf A.A.A.254 (Gateway des Internetanbieters, in diesem Fall sind wir das auch), da es keine spezifischeren Routen zu , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen, als 0.0.0.0/0, hat;
nimmt dieses Paket entgegen und erinnert sich, dass als er ein Paket von A.A.A.2 auf , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen;
übertragen hat, er dessen Adresse und Port des Absenders geändert hat in , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen , das heißt, es ist eine Antwort, die an 192.168.B.1:55555 für A.A.A.2:13389weitergeleitet werden muss, (tatsächlich gibt es dort noch einige zusätzliche Überprüfungen, aber darauf gehen wir nicht näher ein); B.B.B.1:4444422) er versteht, dass es direkt an 192.168.B.1:55555 weitergeleitet werden muss, da es sich im selben Netzwerk befindet, daher gibt es einen entsprechenden Eintrag in der Routingtabelle, der das Senden von Paketen für alle
vorhanden macht. wird das Paket genau von, da dieser sich im selben Netzwerk befindet, hat er daher den entsprechenden Eintrag in der Routing-Tabelle, der dazu führt, dass Pakete für alle gesendet werden. 192.168.B.0/24 direkt zu senden;
23) Der Router findet die MAC-Adresse für wird das Paket genau von und überträgt ihm dieses Paket;
24) das Betriebssystem auf dem Computer mit der Adresse wird das Paket genau von empfängt das Paket von A.A.A.2:13389 für 192.168.B.1:55555 und initiiert die nächsten Schritte zur Herstellung einer TCP-Verbindung.
Es sollte erwähnt werden, dass in diesem Fall der Computer mit der Adresse wird das Paket genau von nichts über den Server mit der Adresse weiß 192.168.A.1, er kommuniziert nur mit A.A.A.2. Ebenso weiß der Server mit der Adresse 192.168.A.1 nichts über den Computer mit der Adresse wird das Paket genau von. Er glaubt, dass er von der Adresse , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischenangeschlossen wurde, und mehr weiß er, sozusagen, nicht.
Es sollte auch erwähnt werden, dass, falls dieser Computer sich an A.A.A.2:1540, die Verbindung nicht hergestellt wird, weil der Port 1540 nicht für das Server-Passthrough am virtuellen Router konfiguriert ist, selbst wenn auf irgendwelchen Servern im virtuellen Netzwerk nach (zum Beispiel auf dem Server mit der Adresse 192.168.A.1) und einige Dienste vorhanden sind, die auf dieser Portverbindung warten. Wenn der Benutzer des Computers mit der Adresse wird das Paket genau von unbedingt eine Verbindung zu diesem Dienst herstellen muss, sollte er VPN verwenden, d.h. direkt auf 192.168.A.1:1540.
Es sollte hervorgehoben werden, dass alle Versuche, eine Verbindung zu B.B.B.1 herzustellen (außer einer IPSec-Verbindung von der Seite von , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen ) nicht erfolgreich sein werden. Alle Versuche, eine Verbindung zu A.A.A.2, abgesehen von Verbindungen zu Port 13389, werden ebenfalls nicht erfolgreich sein.
Es sollte auch angemerkt werden, dass, falls sich an A.A.A.2 jemand anderes wendet (zum Beispiel C.C.C.C), alles, was in den Punkten 10-20 beschrieben wird, auch für ihn gelten wird. Was davor und danach geschieht, hängt davon ab, was genau hinter diesem C.C.C.C. ist. Wir haben darüber keine Informationen, deshalb empfehlen wir, sich für weitere Beratungen an die Administratoren des Knotens mit der Adresse C.C.C.C. zu wenden.
Dritte Position
Und umgekehrt, wenn von 192.168.A.1 irgendetwas an einen Port gesendet wird, der für das Passthrough nach B.B.B.1 konfiguriert ist (zum Beispiel 11111), gelangt es ebenfalls nicht ins VPN, sondern wird einfach von B.B.B.1 abgefangen und gelangt nach , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen, und dieser leitet es dann irgendwohin weiter, sagen wir, 192.168.B.2:3389. Dieser sieht dieses Paket nicht von 192.168.A.1, sondern von B.B.B.1. Und wenn 192.168.B.2 antwortet, geht das Paket von , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen auf A.A.A.1, und gelangt später zum Initiator der Verbindung — 192.168.A.1.
Ein konkretes Beispiel:
1) 192.168.A.1 auf den , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen, möchte eine TCP-Verbindung zu B.B.B.1:11111;
2) 192.168.A.1 sendet eine Anfrage zur Verbindungsherstellung von 192.168.A.1:55555 (Diese Nummer kann, wie im vorherigen Beispiel, anders sein) an B.B.B.1:11111;
3) das Betriebssystem, das auf dem Server mit der Adresse 192.168.A.1, beschließt, dieses Paket an die Gateway-Adresse des Routers weiterzuleiten (192.168.A.254 in unserem Fall), weil es keine anderen, spezifischeren Routen für , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen, gibt, daher leitet es das Paket über die standardmäßige Route (0.0.0.0/0);
4) dafür versucht es, wie wir in den vorherigen Beispielen erwähnt haben, die MAC-Adresse für die IP-Adresse zu finden, 192.168.A.254 in der ARP-Protokoll-Cache-Tabelle zu finden. Wenn sie nicht gefunden wird, sendet es von der Adresse 192.168.A.1 eine Broadcast-Who-has-Anfrage an das Netzwerk nach. Wenn 192.168.A.254 antwortet ihm mit seiner MAC-Adresse, das System überträgt das Ethernet-Paket dafür und trägt diese Informationen in seine Cache-Tabelle ein;
5) Der virtuelle Router empfängt dieses Paket und entscheidet, wohin es gesendet werden soll: Er hat eine Politik, die besagt, dass er (indem er die Rückadresse ändert) alle Pakete von nach an andere Knoten im Internet senden muss;
6) Da diese Politik voraussetzt, dass die Rückadresse mit der niedrigeren Adresse auf dem Interface übereinstimmen muss, über das dieses Paket gesendet wird, entscheidet der virtuelle Router zunächst, an wen genau er dieses Paket weiterleiten soll, und er muss es wie im vorherigen Beispiel an A.A.A.254 (Gateway des Internetanbieters, in diesem Fall sind wir das auch), da es keine spezifischeren Routen zu , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen, als 0.0.0.0/0, hat;
7) bedeutet, dass der virtuelle Router die Rückadresse des Pakets ändert, von nun an handelt es sich um ein Paket von A.A.A.1:44444 (die Portnummer kann natürlich anders sein) zu B.B.B.1:11111;
8) Der virtuelle Router merkt sich, was er getan hat, daher, wenn von B.B.B.1:11111 für A.A.A.1:44444 eintrifft, wird er wissen, dass er die Adresse und den Port des Empfängers ändern muss auf 192.168.A.1:55555.
9) Jetzt muss der virtuelle Router es über das Netzwerk des Internetdienstanbieters weiterleiten durch A.A.A.254, somit findet er genau wie bereits erwähnt die MAC-Adresse für A.A.A.254 und leitet das Paket zum Gateway des Internetanbieters weiter;
10) Internetanbieter leiten das Paket über ihre Netzwerke weiter, das von A.A.A.1 auf B.B.B.1;
11) Der Router an , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen empfängt dieses Paket am Port 11111;
12) Auf dem virtuellen Router gibt es eine Regel, die besagt, dass Pakete, die von einem bestimmten Sender an diesen Port gelangen, an 192.168.B.2:3389;
13) der Router findet im Routing-Tabelle das Netzwerk 192.168.B.0/24 und sendet es direkt an 192.168.B.2, da er ein Interface hat 192.168.B.254/24;
14) dafür findet der virtuelle Router die MAC-Adresse für 192.168.B.2 und überträgt ihm dieses Paket über ein virtuelles Ethernet-Netz;
15) 192.168.B.2 er erhält dieses Paket am Port 3389, ist bereit, die Verbindung herzustellen, und bildet ein Antwortpaket von 192.168.B.2:3389 auf A.A.A.1:44444;
16) Sein System leitet dieses Paket an die Gateway-Adresse des Routers weiter (192.168.B.254 in unserem Fall), weil es keine anderen, spezifischeren Routen für B.B.B.1, er hat keine, daher muss er das Paket über die standardmäßige Route (0.0.0.0/0) weiterleiten;
17) genau wie in den vorherigen Fällen, das System, das auf dem Computer mit der Adresse 192.168.B.2, findet die MAC-Adresse 192.168.B.254, da sie sich im selben Netzwerk wie ihr Interface befindet 192.168.B.2/24;
18) Der Router empfängt dieses Paket. Es ist erwähnenswert, dass er sich daran erinnert, dass er an B.B.B.1:11111 empfangen hat, und er hat die Adresse und den Port des Empfängers auf B.B.B.1 geändert, das heißt, er ändert die Absenderadresse auf 192.168.B.2:338919) der virtuelle Router entscheidet, an wen er dieses Paket weiterleiten soll, er sendet es an 192.168.B.2:3389 für A.A.A.1:44444 20) Internetanbieter leiten das Paket über ihre Netzwerke weiter, das mit B.B.B.1:11111;
19) Der Router entscheidet, an wen dieses Paket weitergeleitet werden soll. Er sendet es zum Beispiel an B.B.B.254 (das Gateway des Internetdienstanbieters, deren genaue Adresse wir nicht kennen), weil es keine spezifischeren Routen zu B.B.B.1, als 0.0.0.0/0, hat;
nimmt dieses Paket entgegen und erinnert sich, dass als er ein Paket von , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen auf B.B.B.1;
21) Der virtuelle Router an B.B.B.1 , das heißt, es ist eine Antwort, die an 192.168.A.1:55555 für B.B.B.1:11111weitergeleitet werden muss, (tatsächlich gibt es dort noch einige zusätzliche Überprüfungen, aber darauf gehen wir nicht näher ein); A.A.A.1:44444. Das bedeutet, dass dies die Antwort ist, die an 192.168.A.1:55555 (eigentlich, wie wir im vorherigen Beispiel erwähnt haben, gibt es dort auch noch einige Überprüfungen, aber dieses Mal vertiefen wir uns nicht in diese);
22) Er versteht, dass es direkt an 192.168.A.1, weitergeleitet werden muss, da es sich im selben Netzwerk befindet, das heißt, der hat in seiner Routing-Tabelle den entsprechenden Eintrag, der ihn zwingt, Pakete für alle nach direkt zu senden;
23) Der Router findet die MAC-Adresse für 192.168.A.1 und überträgt ihm dieses Paket;
24) Das Betriebssystem auf dem Server mit der Adresse 192.168.A.1 empfängt das Paket von B.B.B.1:11111 für 192.168.A.1:55555 und initiiert die nächsten Schritte zur Herstellung einer TCP-Verbindung.
Genau wie im vorherigen Fall, in diesem Fall weiß der Server mit der Adresse 192.168.A.1 nichts über den Computer mit der Adresse wird das Paket genau von, er kommuniziert nur mit , gelangt es ins VPN. Das heißt, dieses Paket wird zusätzlich verschlüsselt und zwischen. Der Computer mit der Adresse wird das Paket genau von weiß ebenfalls nichts über den Server mit der Adresse 192.168.A.1. Er glaubt, dass er von der Adresse B.B.B.1, und der Rest ist vor ihm verborgen.
Ausgabe
So läuft alles bei Verbindungen innerhalb des VPN-Tunnels zwischen dem Büro des Kunden und der Cloud-Umgebung, sowie bei Verbindungen außerhalb des VPN-Tunnels. Wenn Sie noch Fragen haben oder unsere Hilfe bei der Lösung Ihrer Cloud-Probleme benötigen,
Quelle: habr.com
