{"id":53572,"date":"2019-12-05T00:00:00","date_gmt":"2019-12-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya"},"modified":"2020-02-18T14:01:29","modified_gmt":"2020-02-18T11:01:29","slug":"chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","title":{"rendered":"Mis juhtub \u00fchenduste korral VPN-tunneli sees ja v\u00e4ljaspool","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Tucha tehnilise toe kirjades s\u00fcnnivad t\u00f5elised artiklid. Nii k\u00fcsis hiljuti meilt klient, et selgitada, mis juhtub VPN-tunneli \u00fchendustes kasutaja kontori ja pilves oleva keskkonna vahel ning samuti v\u00e4ljaspool VPN-tunnelit. Seega on kogu allpool toodud tekst reaalne kiri, mille saatsime \u00fchele meie kliendile vastuseks tema k\u00fcsimusele. Loomulikult muutsime IP-aadresse, et mitte deanon\u00fc\u00fcmida klienti. Jah, Tucha tehnilise toe teenus on t\u00f5epoolest tuntud oma p\u00f5hjalike vastuste ja sisukate kirjade poolest. \ud83d\ude42<\/p>\n

Muidugi m\u00f5istame, et paljudele ei tohiks see artikkel olla avastus. Kuid kuna Habris ilmub aeg-ajalt algajatele administraatoritele m\u00f5eldud artikleid, ning arvestades, et see artikkel p\u00e4rineb t\u00f5elisest kirjast t\u00f5elisele kliendile, jagame seda teavet ikka siin. On suur t\u00f5en\u00e4osus, et see on kellegile kasulik.
\nSeet\u00f5ttu selgitame \u00fcksikasjalikult, mis juhtub pilve serveri ja kontori vahel, kui need on \u00fchendatud site-to-site v\u00f5rguga. Samuti m\u00e4rkime, et selles osas on osa teenustest saadaval ainult kontorist ja osa - kust tahes Interneti-v\u00f5rgust.<\/p>\n

Selgitame kohe, et meie klient soovis, et serverilt 192.168.A.1<\/b> saaks RDP kaudu \u00fchendust v\u00f5tta kust tahes, \u00fchendudes A.A.A.2:13389<\/b>, samal ajal kui teiste teenustega sai \u00fchendust v\u00f5tta ainult kontorist (192.168.B.0\/24)<\/b>, mis oli \u00fchendatud kaudu VPN<\/a>. Samuti oli kliendil algselt seadistatud, et masina 192.168.B.2 <\/b>kontoris v\u00f5iks RDP kaudu \u00fchendust v\u00f5tta kust tahes, \u00fchendudes B.B.B.1:11111<\/b>. Aitasime organiseerida IPSec-\u00fchendusi pilve ja kontori vahel ning kliendi IT-spetsialist hakkas esitama k\u00fcsimusi selle kohta, mis juhtub sellistes v\u00f5i sellistes olukordades. Et vastata k\u00f5ikidele nendele k\u00fcsimustele, kirjutasimegi tegelikult sellele kliendile k\u00f5ik selle, mida saate allpool lugeda.
\n<\/a><\/noindex>
\n\"Mis<\/p>\n

N\u00fc\u00fcd vaatame neid protsesse detailsemalt.<\/p>\n

<\/p>\n

Esimene positsioon<\/h3>\n

\nKui midagi saadetakse aadressilt 192.168.B.0\/24<\/b> ja 192.168.A.0\/24<\/b> v\u00f5i 192.168.A.0\/24<\/b> ja 192.168.B.0\/24<\/b>, siis see satub VPN-i. See t\u00e4hendab, et see pakett kr\u00fcpteeritakse t\u00e4iendavalt ja edastatakse B.B.B.1<\/b> ja A.A.A.1<\/b>, kuid 192.168.A.1<\/b> n\u00e4eb paketti just aadressilt 192.168.B.1<\/b>. Nad saavad suhelda omavahel mistahes protokollide kaudu. Tagasi saadetud vastused edastatakse samuti VPN-i kaudu, mis t\u00e4hendab, et pakett aadressilt 192.168.A.1<\/b> jaoks 192.168.B.1<\/b> saadetakse ESP-datagrammina aadressilt A.A.A.1<\/b> . Tundub, et B.B.B.1<\/b>, mille teisel pool marsruuter seda k\u00e4itama hakkab, v\u00e4ljastab sellest paketi ja toimetab selle 192.168.B.1<\/b> kui pakett 192.168.A.1<\/b>.<\/p>\n

Konkreetne n\u00e4ide:<\/p>\n

1) 192.168.B.1<\/b> kutsutakse 192.168.A.1<\/b>, soovib loobuda TCP-\u00fchendusest 192.168.A.1:3389<\/b>;<\/p>\n

2) 192.168.B.1<\/b> saadab \u00fchenduse loomise p\u00e4ringu 192.168.B.1:55555<\/b> (tagasiside port valib ta ise, siin ja edaspidi kasutame numbrit 55555 n\u00e4iteks, mida s\u00fcsteem valib TCP-\u00fchenduse loomise k\u00e4igus) aadressile 192.168.A.1:3389<\/b>;<\/p>\n

3) operatsioonis\u00fcsteem, mis t\u00f6\u00f6tab arvutis, millel on aadress 192.168.B.1<\/b>, otsustab edastada selle paketi marsruuteri puhveraadressile (192.168.B.254<\/b> meie puhul), sest tal ei ole muid, spetsiifilisemaid marsruute 192.168.A.1<\/b>, seega edastab ta paketi vaikimisi marsruuti pidi (0.0.0.0\/0);<\/p>\n

4) selleks p\u00fc\u00fcab ta leida MAC-aadressi IP-aadressile 192.168.B.254 <\/b>ARP protokolli puhverm\u00e4lus. Kui see ei leidu, saadab aadressilt 192.168.B.1<\/b> laiali saadetud who-has p\u00e4ringu v\u00f5rku 192.168.B.0\/24<\/b>. Kui 192.168.B.254<\/b> vastuseks saadetakse talle MAC-aadress, s\u00fcsteem edastab Ethernet-paketi ja salvestab selle teabe oma puhverm\u00e4lusse;<\/p>\n

5) marsruuter v\u00f5tab selle paketi vastu ja otsustab, kuhu see edastada: tal on kehtestatud poliitika, mille kohaselt peab ta edastama k\u00f5ik paketid 192.168.B.0\/24<\/b> ja 192.168.A.0\/24<\/b> VPN-\u00fchendusel B.B.B.1<\/b> ja A.A.A.1<\/b>;<\/p>\n

6) marsruuter loob ESP-datagrammi B.B.B.1<\/b> . Tundub, et A.A.A.1<\/b>;<\/p>\n

7) marsruuter otsustab, kellele see pakett edastada, saadab selle n\u00e4iteks B.B.B.254<\/b> (internetti pakkuja marsruutimine), sest tal ei ole spetsiifilisemaid marsruute A.A.A.1<\/b>, kui 0.0.0.0\/0;<\/p>\n

8) sama moodi, nagu juba \u00f6eldi, leiab ta MAC-aadressi B.B.B.254<\/b> ja edastab paketi interneti pakkujale;<\/p>\n

9) interneti pakkujad edastavad oma v\u00f5rkude kaudu ESP-datagrammi B.B.B.1<\/b> . Tundub, et A.A.A.1<\/b>;<\/p>\n

10) virtuaalne marsruuter A.A.A.1<\/b> v\u00f5tab selle datagrammi vastu, dekr\u00fcpteerib selle ja saab paketi 192.168.B.1:55555<\/b> jaoks 192.168.A.1:3389<\/b>;<\/p>\n

11) virtuaalne marsruuter kontrollib, kellele seda edastada, leiab marsruuditabelist v\u00f5rgu 192.168.A.0\/24<\/b> ja saadab selle otse 192.168.A.1<\/b>, kuna tal on liides 192.168.A.254\/24<\/b>;<\/p>\n

12) selleks leiab virtuaalne marsruuter MAC-aadressi 192.168.A.1<\/b> ja edastab selle paketi virtuaalse Ethernet-v\u00f5rgu kaudu;<\/p>\n

13) 192.168.A.1<\/b> saab selle paketi porti 3389, n\u00f5ustub \u00fchenduse looma ja loob vastupaketi 192.168.A.1:3389<\/b> . Tundub, et 192.168.B.1:55555<\/b>;<\/p>\n

14) tema s\u00fcsteem edastab selle paketi virtuaalse marsruuteri puhveraadressile (192.168.A.254<\/b> meie puhul), sest tal ei ole muid, spetsiifilisemaid marsruute 192.168.B.1<\/b>, tal ei ole, seega peab ta edastama paketi vaikimisi marsruuti pidi (0.0.0.0\/0);<\/p>\n

15) nagu eelnevatel juhtudel, s\u00fcsteem, mis t\u00f6\u00f6tleb serveris, mille aadress on 192.168.A.1<\/b>, leiab MAC-aadressi 192.168.A.254<\/b>, kuna see on samas v\u00f5rgus tema liidesega 192.168.A.1\/24<\/b>;<\/p>\n

16) virtuaalne marsruuter v\u00f5tab selle paki vastu ja otsustab, kuhu see edastada: tal on v\u00e4lja t\u00f6\u00f6tatud poliitika, mille kohaselt peab ta edastama k\u00f5ik paketid nende vahel 192.168.A.0\/24<\/b> ja 192.168.B.0\/24<\/b> VPN-\u00fchendusel A.A.A.1<\/b> ja B.B.B.1<\/b>;<\/p>\n

17) virtuaalne marsruuter koostab ESP-datagrammi aadressilt A.A.A.1<\/b> jaoks B.B.B.1<\/b>;<\/p>\n

18) virtuaalne marsruuter otsustab, kellele see pakett edastatakse, ja saadab selle aadressile A.A.A.254<\/b> (internetiteenuse pakkuja v\u00e4rav, antud juhul oleme meie), kuna spetsiifilisemaid marsruute pole B.B.B.1<\/b>, kui 0.0.0.0\/0;<\/p>\n

19) internetiteenuse pakkujad edastavad oma v\u00f5rkudes ESP-datagrammi koos A.A.A.1<\/b> . Tundub, et B.B.B.1<\/b>;<\/p>\n

20) marsruuter aadressil B.B.B.1 <\/b>v\u00f5tab selle datagrammi vastu, dekr\u00fcpteerib selle ja saab paketi 192.168.A.1:3389<\/b> jaoks 192.168.B.1:55555<\/b>;<\/p>\n

21) ta m\u00f5istab, et see tuleb edastada just sellele aadressile 192.168.B.1<\/b>, kuna see on temaga samas v\u00f5rgus, seet\u00f5ttu on tal marsruuditabelis vastav kirje, mis sunnib teda edastama pakette kogu 192.168.B.0\/24<\/b> otse;<\/p>\n

22) marsruuter leiab MAC-aadressi aadressile 192.168.B.1<\/b> ja edastab talle selle paki;<\/p>\n

23) operatsioonis\u00fcsteem arvutis, mille aadress on 192.168.B.1<\/b> v\u00f5tab paki vastu aadressilt 192.168.A.1:3389<\/b> jaoks 192.168.B.1:55555<\/b> ja algatab j\u00e4rgmised sammud TCP-\u00fchenduse loomiseks.<\/p>\n

Selles n\u00e4ites on l\u00fchidalt ja lihtsustatud (ja siin saab meenutada veel hulganisti detaile) kirjeldatud, mis juhtub tasemetel 2-4. Tasemed 1, 5-7 ei ole k\u00e4sitletud.<\/p>\n

Teine positsioon<\/h3>\n

\nKui aadressile 192.168.B.0\/24<\/b> saadetakse midagi aeg-ajalt aadressile A.A.A.2<\/b>, see ei l\u00e4he VPN-i, vaid otse. See t\u00e4hendab, et kui kasutaja aadressilt 192.168.B.1<\/b> kutsutakse A.A.A.2:13389<\/b>, see pakett j\u00f5uab aadressile B.B.B.1<\/b>, l\u00e4bib aadressile A.A.A.2<\/b>, ja seal marsruuter v\u00f5tab selle vastu ja edastab aadressile 192.168.A.1<\/b>. 192.168.A.1<\/b> ei tea midagi aadressist 192.168.B.1<\/b>, ta n\u00e4eb paketti aadressilt B.B.B.1<\/b>, kuna see on temalt saadud. Seet\u00f5ttu see p\u00e4ringule vastamine toimub tavalisel marsruudil, see j\u00f5uab samuti aadressile A.A.A.2 <\/b>ja l\u00e4heb adresile B.B.B.1<\/b>, ja see marsruuter edastab vastuse aadressile 192.168.B.1<\/b>, see n\u00e4eb vastust aadressilt A.A.A.2<\/b>, kellele ta p\u00f6\u00f6rdus.<\/p>\n

Konkreetne n\u00e4ide:<\/p>\n

1) 192.168.B.1<\/b> kutsutakse A.A.A.2<\/b>, soovib loobuda TCP-\u00fchendusest A.A.A.2:13389<\/b>;<\/p>\n

2) 192.168.B.1<\/b> saadab \u00fchenduse loomise p\u00e4ringu 192.168.B.1:55555<\/b> (see number v\u00f5ib, nagu eelnevas n\u00e4ites, olla teine) aadressile A.A.A.2:13389<\/b>;<\/p>\n

3) operatsioonis\u00fcsteem, mis t\u00f6\u00f6tab arvutis, millel on aadress 192.168.B.1<\/b>, otsustab edastada selle paketi marsruuteri puhveraadressile (192.168.B.254<\/b> meie puhul), sest tal ei ole muid, spetsiifilisemaid marsruute A.A.A.2<\/b>, teda ei ole, seega edastab ta paketi vaikimisi marsruudil (0.0.0.0\/0);<\/p>\n

4) selleks, nagu me eelnevas n\u00e4ites mainisime, proovib ta leida MAC-aadressi IP-aadressile 192.168.B.254<\/b> ARP protokolli puhverm\u00e4lus. Kui see ei leidu, saadab aadressilt 192.168.B.1<\/b> laiali saadetud who-has p\u00e4ringu v\u00f5rku 192.168.B.0\/24<\/b>. Kui 192.168.B.254<\/b> vastuseks saadetakse talle MAC-aadress, s\u00fcsteem edastab Ethernet-paketi ja salvestab selle teabe oma puhverm\u00e4lusse;<\/p>\n

5) marsruuter v\u00f5tab selle paketi vastu ja otsustab, kuhu see edastatakse: tal on v\u00e4lja t\u00f6\u00f6tatud poliitika, mille kohaselt peab ta edastama k\u00f5ik pakettide need aadressilt 192.168.B.0\/24<\/b> teistesse Interneti v\u00f5rgupunktidesse;<\/p>\n

6) kuna see poliitika eeldab, et tagasiside aadress peab olema sama, mis madalama aadressiga liidese aadress, mille kaudu see pakett edastatakse, suunab ruuter esmalt paketi otse edasi. Ta peab, nagu eelnevas n\u00e4ites, selle saatma B.B.B.254<\/b> (internetti pakkuja marsruutimine), sest tal ei ole spetsiifilisemaid marsruute A.A.A.2<\/b>, kui 0.0.0.0\/0;<\/p>\n

7) seega asendab ruuter paketi tagasiside aadressi, n\u00fc\u00fcd saatisfaction pakett B.B.B.1:44444<\/b> (porti number v\u00f5ib muidugi olla teine) aadressile A.A.A.2:13389<\/b>;<\/p>\n

8) ruuter m\u00e4letab, et ta selle tegi, seega, kui A.A.A.2:13389<\/b> aadressile B.B.B.1:44444<\/b> tuleb vastus, teab ta, et peab muutma saaja aadressi ja porti 192.168.B.1:55555<\/b>.<\/p>\n

9) n\u00fc\u00fcd peab ruuter edastama selle interneti teenusepakkujale l\u00e4bi B.B.B.254<\/b>, seega sama moodi, nagu me juba mainisime, leiab ta MAC-aadressi B.B.B.254 <\/b>ja edastab paketi interneti pakkujale;<\/p>\n

10) interneti teenusepakkujad edastavad oma v\u00f5rkudes paketti B.B.B.1<\/b> . Tundub, et A.A.A.2<\/b>;<\/p>\n

11) virtuaalne ruuter aadressil A.A.A.2<\/b> vastab sellele paketile pordil 13389;<\/p>\n

12) virtuaalsel ruuteril on reegel, mis k\u00e4seb edastada pakkumisi, mis on saabunud igalt saatjalt sellele pordile 192.168.A.1:3389<\/b>;<\/p>\n

13) virtuaalne ruuter leiab marsruuterimistabelist v\u00f5rgu 192.168.A.0\/24<\/b> ja saadab selle otse 192.168.A.<\/b>1, kuna tal on liides 192.168.A.254\/24<\/b>;<\/p>\n

14) selleks leiab virtuaalne ruuter MAC-aadressi 192.168.A.1<\/b> ja edastab selle paketi virtuaalse Ethernet-v\u00f5rgu kaudu;<\/p>\n

15) 192.168.A.1<\/b> saab selle paketi porti 3389, n\u00f5ustub \u00fchenduse looma ja loob vastupaketi 192.168.A.1:3389<\/b> . Tundub, et B.B.B.1:44444<\/b>;<\/p>\n

16) tema s\u00fcsteem edastab selle paketi virtuaalse ruuteri v\u00e4rava aadressile (192.168.A.254<\/b> meie puhul), sest tal ei ole muid, spetsiifilisemaid marsruute B.B.B.1<\/b>, tal ei ole, seega peab ta edastama paketi vaikimisi marsruuti pidi (0.0.0.0\/0);<\/p>\n

17) sama moodi nagu eelnevates juhtumites, s\u00fcsteem, mis t\u00f6\u00f6tab serveril aadressiga 192.168.A.1<\/b>, leiab MAC-aadressi 192.168.A.254<\/b>, kuna see on samas v\u00f5rgus tema liidesega 192.168.A.1\/24<\/b>;<\/p>\n

18) virtuaalne ruuter v\u00f5tab selle paketi vastu. Tuleb m\u00e4rkida, et ta m\u00e4letab, et sai aadressilt A.A.A.2:13389<\/b> paketi ja muutis saaja aadressi ja porti B.B.B.1:44444<\/b> , seega paketi puhul aadressilt 192.168.A.1:3389<\/b>muudab ta saatja aadressi 192.168.A.1:3389 <\/b>jaoks B.B.B.1:44444<\/b> 19) virtuaalne ruuter otsustab, kellele see pakett edastada, saadab selle A.A.A.2:13389<\/b>;<\/p>\n

20) interneti teenusepakkujad edastavad oma v\u00f5rkudes paketti aadressiga A.A.A.254<\/b> (internetiteenuse pakkuja v\u00e4rav, antud juhul oleme meie), kuna spetsiifilisemaid marsruute pole B.B.B.1<\/b>, kui 0.0.0.0\/0;<\/p>\n

21) ruuter aadressil A.A.A.2<\/b> . Tundub, et B.B.B.1<\/b>;<\/p>\n

v\u00f5tab selle paketi vastu ja meenutab, et kui ta edastas paketi aadressilt B.B.B.1<\/b> , muutis ta saadetise aadressi ja porti 192.168.B.1:55555<\/b> jaoks A.A.A.2:13389<\/b>, seega on see vastus, mis tuleb edastada aadressile B.B.B.1:44444<\/b>(tegelikult on seal veel paar kontrolli, kuid me ei s\u00fcvene sellesse); 192.168.B.1:55555<\/b> 22) ta m\u00f5istab, et see tuleks edastada otse aadressile<\/p>\n

, kuna see on temaga samas v\u00f5rgus, seega peab tal olema marsruuterimistabelis vastav kirje, mis sunnib pakette edastama k\u00f5igile 192.168.B.1<\/b>, \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0442\u043e\u0442 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0441 \u043d\u0438\u043c \u0432 \u043e\u0434\u043d\u043e\u0439 \u0441\u0435\u0442\u0438, \u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0443 \u0442\u043e\u0433\u043e \u0435\u0441\u0442\u044c \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0430\u044f \u0437\u0430\u043f\u0438\u0441\u044c, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0437\u0430\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u0434\u043b\u044f \u0432\u0441\u0435\u0439 192.168.B.0\/24 <\/b>otse;<\/p>\n

23) ruuter leiab MAC-aadressi 192.168.B.1<\/b> ja edastab talle selle paki;<\/p>\n

24) operatsioonis\u00fcsteem arvutis, mille aadress on 192.168.B.1<\/b> v\u00f5tab paki vastu aadressilt A.A.A.2:13389<\/b> jaoks 192.168.B.1:55555<\/b> ja algatab j\u00e4rgmised sammud TCP-\u00fchenduse loomiseks.<\/p>\n

Tuleb m\u00e4rkida, et sel juhul ei tea arvuti, mille aadress on 192.168.B.1<\/b> serverist, mille aadress on 192.168.A.1<\/b>, see suhtleb ainult A.A.A.2<\/b>. Samamoodi ei tea server, mille aadress on 192.168.A.1<\/b> aru, et seda on \u00fchendatud aadressilt 192.168.B.1<\/b>, ta arvab, et seda on \u00fchendatud aadressilt B.B.B.1<\/b>, muust ei tea ta midagi.<\/p>\n

Samuti tuleb m\u00e4rkida, et juhul, kui see arvuti p\u00f6\u00f6rdub A.A.A.2:1540<\/b>, ei saa \u00fchendust luua, kuna \u00fchenduste edastamine pordile 1540 ei ole seadistatud virtuaalses ruuteris, isegi kui m\u00f5nes serveris virtuaalses v\u00f5rgus 192.168.A.0\/24<\/b> (n\u00e4iteks serveris, mille aadress on 192.168.A.1<\/b>) ning seal on teenuseid, mis ootavad \u00fchendust sellel pordil. Kui arvuti kasutajal, mille aadress on 192.168.B.1<\/b> , on \u00e4\u00e4rmiselt vajalik luua \u00fchendus selle teenusega, peab ta kasutama VPN-i, st p\u00f6\u00f6rduma otse 192.168.A.1:1540<\/b>.<\/p>\n

Tuleb r\u00f5hutada, et k\u00f5ik katsed luua \u00fchendus A.A.A.1<\/b> (v\u00e4lja arvatud IPSec-\u00fchendus poolelt B.B.B.1<\/b> ) ei \u00f5nnestu. K\u00f5ik katsed luua \u00fchendusi A.A.A.2<\/b>, v\u00e4lja arvatud \u00fchendused pordiga 13389, ei \u00f5nnestu samuti.
\nSamuti tuleb m\u00e4rkida, et juhul, kui keegi teine p\u00f6\u00f6rdub aadressile A.A.A.2 <\/b>(n\u00e4iteks C.C.C.C), siis k\u00f5ik, mis on toodud punktides 10-20, kehtib ka tema kohta. Mis juhtub enne ja p\u00e4rast seda, s\u00f5ltub sellest, mis C.C.C.C. taga on. Me ei suuda sellist teavet anda, seet\u00f5ttu soovitame p\u00f6\u00f6rduda n\u00f5uannete saamiseks aadressi C.C.C.C. administraatorite poole.<\/p>\n

Kolmas positsioon<\/h3>\n

\nJa vastupidi, kui aadressile 192.168.A.1 <\/b>saadetakse midagi m\u00f5nele pordile, mis on seadistatud edastama sisse B.B.B.1 (n\u00e4iteks 11111), siis see ei satu ka VPN-i, vaid lihtsalt edastatakse aadressilt A.A.A.1<\/b> ja j\u00f5uab B.B.B.1<\/b>, ning sealt edasi edastatakse see kuhugi, \u00fctleme, 192.168.B.2:3389<\/b>. See n\u00e4eb seda paketti mitte aadressilt 192.168.A.1<\/b>, vaid aadressilt A.A.A.1<\/b>. Ja kui 192.168.B.2<\/b> vastab, siis pakett tuleb aadressilt B.B.B.1<\/b> . Tundub, et A.A.A.1,<\/b> ja hiljem j\u00f5uab see \u00fchenduse algatajale \u2014 192.168.A.1<\/b>.<\/p>\n

Konkreetne n\u00e4ide:<\/p>\n

1) 192.168.A.1<\/b> kutsutakse B.B.B.1<\/b>, soovib loobuda TCP-\u00fchendusest B.B.B.1:11111<\/b>;<\/p>\n

2) 192.168.A.1<\/b> saadab \u00fchenduse loomise p\u00e4ringu 192.168.A.1:55555<\/b> (see number v\u00f5ib, nagu eelnevas n\u00e4ites, olla teine) aadressile B.B.B.1:11111<\/b>;<\/p>\n

3) operatsioonis\u00fcsteem, mis t\u00f6\u00f6tab serveris, mille aadress on 192.168.A.1<\/b>, otsustab edastada selle paketi marsruuteri puhveraadressile (192.168.A.254<\/b> meie puhul), sest tal ei ole muid, spetsiifilisemaid marsruute B.B.B.1<\/b>, seega edastab ta paketi vaikimisi marsruuti pidi (0.0.0.0\/0);<\/p>\n

4) selle jaoks proovib ta, nagu me eelnevalt mainisime, leida MAC-aadressi IP-aadressile 192.168.A.254<\/b> ARP protokolli puhverm\u00e4lus. Kui see ei leidu, saadab aadressilt 192.168.A.1<\/b> laiali saadetud who-has p\u00e4ringu v\u00f5rku 192.168.A.0\/24<\/b>. Kui 192.168.A.254<\/b> vastuseks saadab talle oma MAC-aadressi, s\u00fcsteem edastab Ethernet-paketi selle jaoks ja salvestab selle teabe oma vahem\u00e4lu tabelisse;<\/p>\n

5) virtuaalne ruuter v\u00f5tab seda paketti vastu ja otsustab, kuhu see edastada: tal on kirjas poliitika, mille kohaselt ta peab k\u00f5ik paketid, mis on saadetud, tagastama (asendades tagasisaatja aadressi) 192.168.A.0\/24<\/b> teistesse Interneti v\u00f5rgupunktidesse;<\/p>\n

6) kuna see poliitika eeldab, et tagasisaatja aadress peab vastama madalaima aadressiga liidesel, mille kaudu see pakett edastatakse, otsustab virtuaalne ruuter esmalt, kellele t\u00e4pselt selle paketi edastada, ja ta peab nagu eelnevas n\u00e4ites saatma selle A.A.A.254<\/b> (internetiteenuse pakkuja v\u00e4rav, antud juhul oleme meie), kuna spetsiifilisemaid marsruute pole B.B.B.1<\/b>, kui 0.0.0.0\/0;<\/p>\n

7) seega asendab virtuaalne ruuter paketi tagasisaatja aadressi, edaspidi on see pakett A.A.A.1:44444<\/b> (porti number v\u00f5ib muidugi olla teine) aadressile B.B.B.1:11111<\/b>;<\/p>\n

8) virtuaalne ruuter m\u00e4letab, mida ta tegi, seega, kui B.B.B.1:11111<\/b> jaoks A.A.A.1:44444<\/b> tuleb vastus, teab ta, et peab muutma saaja aadressi ja porti 192.168.A.1:55555<\/b>.<\/p>\n

9) n\u00fc\u00fcd peab virtuaalne ruuter edastama selle interneti teenuse pakkuja v\u00f5rgusse l\u00e4bi A.A.A.254<\/b>, seega t\u00e4pselt nii nagu me juba mainisime, leiab ta MAC-aadressi A.A.A.254 <\/b>ja edastab paketi interneti pakkujale;<\/p>\n

10) interneti teenusepakkujad edastavad oma v\u00f5rkudes paketti A.A.A.1 B.B.B.1-lt<\/b>;<\/p>\n

11) ruuter B.B.B.1<\/b> v\u00f5tab selle paketi vastu porti 11111;<\/p>\n

12) virtuaalses ruuteris on reegel, mis s\u00e4testab, et paketid, mis on saadetud m\u00f5nelt saatjalt sellele pordile, tuleb edastada 192.168.B.2:3389<\/b>;<\/p>\n

13) ruuter leiab marsruutimistabelist v\u00f5rgu 192.168.B.0\/24<\/b> ja saadab selle otse 192.168.B.2<\/b>, kuna tal on liides 192.168.B.254\/24<\/b>;<\/p>\n

14) selleks leiab virtuaalne ruuter MAC-aadressi 192.168.B.2<\/b> ja edastab selle paketi virtuaalse Ethernet-v\u00f5rgu kaudu;<\/p>\n

15) 192.168.B.2<\/b> saab selle paketi porti 3389, n\u00f5ustub \u00fchenduse looma ja loob vastupaketi 192.168.B.2:3389<\/b> . Tundub, et A.A.A.1:44444<\/b>;<\/p>\n

16) tema s\u00fcsteem edastab selle paketi ruuteri l\u00fc\u00fcsiaadressile (192.168.B.254<\/b> meie puhul), sest tal ei ole muid, spetsiifilisemaid marsruute A.A.A.1<\/b>, tal ei ole, seega peab ta edastama paketi vaikimisi marsruuti pidi (0.0.0.0\/0);<\/p>\n

17) t\u00e4pselt nii, nagu eelnevatel juhtudel, t\u00f6\u00f6tab s\u00fcsteem, mis asub arvutil, mille aadress on 192.168.B.2<\/b>, leiab MAC-aadressi 192.168.B.254<\/b>, kuna see on samas v\u00f5rgus tema liidesega 192.168.B.2\/24<\/b>;<\/p>\n

18) ruuter v\u00f5tab selle paketi vastu. Tuleb m\u00e4rkida, et ta m\u00e4letab, et on saanud B.B.B.1:11111<\/b> paketi ja muutis saaja aadressi ja porti A.A.A.1 <\/b>, seega paketi puhul aadressilt 192.168.B.2:3389<\/b>muudab ta saatja aadressi 192.168.B.2:3389<\/b> jaoks A.A.A.1:44444<\/b> 19) virtuaalne ruuter otsustab, kellele see pakett edastada, saadab selle B.B.B.1:11111<\/b>;<\/p>\n

19) ruuter otsustab, kellele edastada see pakett. Ta saadab selle n\u00e4iteks B.B.B.254 <\/b>(interneti teenuse pakkuja l\u00fc\u00fcs, mille t\u00e4pset aadressi me ei tea), kuna konkreetsemaid marsruute A.A.A.1<\/b>, kui 0.0.0.0\/0;<\/p>\n

21) ruuter aadressil B.B.B.1<\/b> . Tundub, et A.A.A.1<\/b>;<\/p>\n

21) virtuaalne ruuter A.A.A.1 <\/b>, muutis ta saadetise aadressi ja porti 192.168.A.1:55555<\/b> jaoks B.B.B.1:11111<\/b>, seega on see vastus, mis tuleb edastada aadressile A.A.A.1:44444<\/b>. Seega on see vastus, mis tuleb edastada 192.168.A.1:55555<\/b> (tegelikult, nagu juba eelnevalt mainisime, on seal veel mitmeid kontrolle, kuid seekord me neisse ei s\u00fc\u00fcvi);<\/p>\n

22) ta m\u00f5istab, et see tuleb edastada otse 192.168.A.1<\/b>, kuna see asub temaga samas v\u00f5rgus, seega on sellel marsruutimistabelis vastav kirje, mis sunnib teda edastama pakette k\u00f5ikidele 192.168.A.0\/24<\/b> otse;<\/p>\n

23) ruuter leiab MAC-aadressi 192.168.A.1<\/b> ja edastab talle selle paki;<\/p>\n

24) operatsioonis\u00fcsteem serveris, mille aadress on 192.168.A.1<\/b> v\u00f5tab paki vastu aadressilt B.B.B.1:1111<\/b>1 jaoks 192.168.A.1:55555 <\/b>ja algatab j\u00e4rgmised sammud TCP-\u00fchenduse loomiseks.<\/p>\n

Nagu eelnevas olukorras, on ka sel korral server, mille aadress on 192.168.A.1<\/b> aru, et seda on \u00fchendatud aadressilt 192.168.B.1<\/b>, see suhtleb ainult B.B.B.1<\/b>. Arvutil, mille aadress on 192.168.B.1<\/b> ei tea samuti serverist, mille aadress on 192.168.A.1<\/b>, ta arvab, et seda on \u00fchendatud aadressilt A.A.A.1<\/b>, aga \u00fclej\u00e4\u00e4nud on varjatud.<\/p>\n

Kokkuv\u00f5te<\/h3>\n

\nNii see k\u00f5ik toimub kliendi kontori ja pilves olevate keskkondade vahel VPN-tunneli sees, samuti VPN-tunneli v\u00e4lisel \u00fchendusel. Kui teil on k\u00fcsimusi v\u00f5i vajate meie abi pilveprobleemide lahendamisel, v\u00f5tke meiega \u00fchendust 24\/7.<\/a><\/noindex>
\n
Allikas: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0437 \u043f\u0438\u0441\u0435\u043c \u0432 \u0441\u043b\u0443\u0436\u0431\u0443 \u0442\u0435\u0445\u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Tucha \u0440\u043e\u0436\u0434\u0430\u044e\u0442\u0441\u044f \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0435 \u0441\u0442\u0430\u0442\u044c\u0438. \u0422\u0430\u043a, \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u043a \u043d\u0430\u043c \u043e\u0431\u0440\u0430\u0442\u0438\u043b\u0441\u044f \u043a\u043b\u0438\u0435\u043d\u0442 \u0441 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u043c \u0440\u0430\u0437\u044a\u044f\u0441\u043d\u0438\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f \u043c\u0435\u0436\u0434\u0443 \u043e\u0444\u0438\u0441\u043e\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0438 \u0441\u0440\u0435\u0434\u043e\u0439 \u0432 \u043e\u0431\u043b\u0430\u043a\u0435, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0435 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432\u0435\u0441\u044c \u0442\u0435\u043a\u0441\u0442, \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u0439 \u043d\u0438\u0436\u0435, \u2014 \u044d\u0442\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0435 \u043f\u0438\u0441\u044c\u043c\u043e, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043c\u044b \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b\u0438 \u043e\u0434\u043d\u043e\u043c\u0443 \u0438\u0437 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0432 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":53573,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-53572","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mida t\u00e4hendab \u00fchendamine VPN-tunneli sees ja v\u00e4ljas | ProHoster","description":"Tucha toetusteadetest s\u00fcnnivad t\u00f5elised artiklid.","canonical_url":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"et_EE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0427\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 \u0438 \u0432\u043d\u0435 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f | ProHoster","og:description":"\u0418\u0437 \u043f\u0438\u0441\u0435\u043c \u0432 \u0441\u043b\u0443\u0436\u0431\u0443 \u0442\u0435\u0445\u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Tucha \u0440\u043e\u0436\u0434\u0430\u044e\u0442\u0441\u044f \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0435 \u0441\u0442\u0430\u0442\u044c\u0438.","og:url":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-04T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:29+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53572","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-04 15:17:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:22:50","updated":"2026-02-04 15:17:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/53572","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/comments?post=53572"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/53572\/revisions"}],"predecessor-version":[{"id":156714,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/53572\/revisions\/156714"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/media\/53573"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/media?parent=53572"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/categories?post=53572"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/tags?post=53572"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}