{"id":53572,"date":"2019-12-05T00:00:00","date_gmt":"2019-12-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya"},"modified":"2020-02-18T14:01:29","modified_gmt":"2020-02-18T11:01:29","slug":"chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","title":{"rendered":"Cosa succede durante le connessioni all'interno e all'esterno del tunnel VPN","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Dalle email al servizio di assistenza Tucha nascono articoli reali. Recentemente, un cliente ci ha contattato per ottenere chiarimenti su cosa succede durante le connessioni all'interno del tunnel VPN tra l'ufficio dell'utente e l'ambiente cloud, nonch\u00e9 durante le connessioni al di fuori del tunnel VPN. Pertanto, tutto il testo riportato di seguito \u00e8 una vera email che abbiamo inviato a uno dei clienti in risposta alla sua domanda. Naturalmente, abbiamo modificato gli indirizzi IP per non de-anonimizzare il cliente. Ma s\u00ec, il servizio di supporto tecnico di Tucha \u00e8 davvero rinomato per le sue risposte dettagliate e le email informative. \ud83d\ude42<\/p>\n

Certo, comprendiamo che per molti questo articolo non sar\u00e0 una rivelazione. Tuttavia, poich\u00e9 su Habr appaiono di tanto in tanto articoli per amministratori principianti e dato che questo articolo \u00e8 emerso da una vera email a un cliente reale, vogliamo comunque condividere queste informazioni anche qui. \u00c8 molto probabile che siano utili a qualcuno.
\nPertanto, spieghiamo in dettaglio cosa accade tra il server cloud e l'ufficio quando sono collegati tramite una rete site-to-site. \u00c8 importante notare che alcuni servizi sono disponibili solo dall'ufficio, mentre altri possono essere accessibili da qualsiasi luogo tramite Internet.<\/p>\n

Spieghiamo immediatamente che il nostro cliente desiderava che sul server 192.168.A.1<\/b> si potesse accedere da qualsiasi luogo tramite RDP, collegandosi a A.A.A.2:13389<\/b>, mentre per gli altri servizi l'accesso \u00e8 consentito solo dall'ufficio (192.168.B.0\/24)<\/b>, connesso tramite VPN<\/a>. Inoltre, il cliente aveva configurato in origine che al sistema 192.168.B.2 <\/b>nell'ufficio si potesse accedere via RDP da qualsiasi luogo, collegandosi a B.B.B.1:11111<\/b>. Abbiamo assistito nell'organizzazione di connessioni IPSec tra il cloud e l'ufficio, e l'IT specialist del cliente ha iniziato a porre domande su cosa accadr\u00e0 in vari casi. Per rispondere a tutte queste domande, abbiamo redatto il testo che potete leggere di seguito.
\n<\/a><\/noindex>
\n\"Cosa<\/p>\n

Ora esaminiamo questi processi in modo pi\u00f9 dettagliato.<\/p>\n

<\/p>\n

Posizione uno<\/h3>\n

\nQuando qualcosa viene inviato da 192.168.B.0\/24<\/b> in 192.168.A.0\/24<\/b> o da 192.168.A.0\/24<\/b> in 192.168.B.0\/24<\/b>, viene inserito nel VPN. Cio\u00e8, il pacchetto viene ulteriormente crittografato e trasmesso tra B.B.B.1<\/b> e A.A.A.1<\/b>, ma 192.168.A.1<\/b> vede il pacchetto proveniente da 192.168.B.1<\/b>. Possono comunicare tra loro utilizzando qualsiasi protocollo. Le risposte di ritorno vengono anch'esse trasmesse tramite VPN, quindi il pacchetto da 192.168.A.1<\/b> per 192.168.B.1<\/b> sar\u00e0 inviato come datagramma ESP da A.A.A.1<\/b> con B.B.B.1<\/b>, che dall'altra parte il router decodificher\u00e0, estraendo il pacchetto e consegnandolo a 192.168.B.1<\/b> come pacchetto da 192.168.A.1<\/b>.<\/p>\n

Un esempio concreto:<\/p>\n

1) 192.168.B.1<\/b> si riferisce a 192.168.A.1<\/b>, desidera stabilire una connessione TCP con 192.168.A.1:3389<\/b>;<\/p>\n

2) 192.168.B.1<\/b> invio di una richiesta di connessione da 192.168.B.1:55555<\/b> (il numero di porta per il feedback \u00e8 scelto autonomamente, qui e in seguito utilizzeremo il numero 55555 come esempio di tale numero di porta che il sistema sceglie quando forma una connessione TCP) a 192.168.A.1:3389<\/b>;<\/p>\n

3) il sistema operativo, che gira su un computer con indirizzo 192.168.B.1<\/b>, decide di inviare questo pacchetto all'indirizzo gateway del router (192.168.B.254<\/b> nel nostro caso), poich\u00e9 non ci sono altri percorsi pi\u00f9 specifici per 192.168.A.1<\/b>, pertanto invia il pacchetto tramite il percorso predefinito (0.0.0.0\/0);<\/p>\n

4) per questo cerca di trovare l'indirizzo MAC per l'indirizzo IP 192.168.B.254 <\/b>nella tabella di cache del protocollo ARP. Se non viene trovato, invia dall'indirizzo 192.168.B.1<\/b> una richiesta who-has di broadcast alla rete 192.168.B.0\/24<\/b>. Quando 192.168.B.254<\/b> In risposta, invia il proprio indirizzo MAC, il sistema trasmette un pacchetto Ethernet per lui e memorizza queste informazioni nella sua tabella di cache;<\/p>\n

5) il router riceve questo pacchetto e decide dove inoltrarlo: ha una politica che prevede di inviare tutti i pacchetti tra 192.168.B.0\/24<\/b> e 192.168.A.0\/24<\/b> trasmettendo tramite una connessione VPN tra B.B.B.1<\/b> e A.A.A.1<\/b>;<\/p>\n

6) il router genera un datagramma ESP da B.B.B.1<\/b> con A.A.A.1<\/b>;<\/p>\n

7) il router decide a chi inviare questo pacchetto, lo invia a, ad esempio, B.B.B.254<\/b> (gateway del provider Internet) perch\u00e9 non ha percorsi pi\u00f9 specifici verso A.A.A.1<\/b>, diverso da 0.0.0.0\/0;<\/p>\n

8) proprio come detto in precedenza, trova l'indirizzo MAC per B.B.B.254<\/b> e invia il pacchetto al gateway del provider Internet;<\/p>\n

9) i provider Internet trasmettono nei loro network il datagramma ESP da B.B.B.1<\/b> con A.A.A.1<\/b>;<\/p>\n

10) il router virtuale su A.A.A.1<\/b> riceve questo datagramma, lo decifra e ottiene un pacchetto da 192.168.B.1:55555<\/b> per 192.168.A.1:3389<\/b>;<\/p>\n

11) il router virtuale controlla a chi inviarlo, trova nella tabella di routing la rete 192.168.A.0\/24<\/b> e lo invia direttamente a 192.168.A.1<\/b>, poich\u00e9 ha un'interfaccia 192.168.A.254\/24<\/b>;<\/p>\n

12) per questo, il router virtuale trova l'indirizzo MAC per 192.168.A.1<\/b> e gli trasmette questo pacchetto attraverso una rete Ethernet virtuale;<\/p>\n

13) 192.168.A.1<\/b> riceve questo pacchetto sulla porta 3389, accetta di stabilire una connessione e forma un pacchetto in risposta da 192.168.A.1:3389<\/b> con 192.168.B.1:55555<\/b>;<\/p>\n

14) il suo sistema inoltra questo pacchetto all'indirizzo del gateway del router virtuale (192.168.A.254<\/b> nel nostro caso), poich\u00e9 non ci sono altri percorsi pi\u00f9 specifici per 192.168.B.1<\/b>, non avendolo, deve quindi trasmettere il pacchetto attraverso il percorso predefinito (0.0.0.0\/0);<\/p>\n

15) proprio come nei casi precedenti, il sistema che opera sul server con indirizzo 192.168.A.1<\/b>, trova l'indirizzo MAC 192.168.A.254<\/b>, poich\u00e9 si trova nella stessa rete della sua interfaccia 192.168.A.1\/24<\/b>;<\/p>\n

16) il router virtuale accetta questo pacchetto e decide a chi inviarlo: ha una politica secondo cui deve gestire tutti i pacchetti tra 192.168.A.0\/24<\/b> e 192.168.B.0\/24<\/b> trasmettendo tramite una connessione VPN tra A.A.A.1<\/b> e B.B.B.1<\/b>;<\/p>\n

17) il router virtuale forma un datagramma ESP da A.A.A.1<\/b> per B.B.B.1<\/b>;<\/p>\n

18) il router virtuale decide a chi inviare questo pacchetto, lo invia a A.A.A.254<\/b> (gateway del provider Internet, in questo caso, siamo sempre noi), perch\u00e9 non ci sono percorsi pi\u00f9 specifici verso B.B.B.1<\/b>, diverso da 0.0.0.0\/0;<\/p>\n

19) i provider Internet trasmettono attraverso le loro reti il datagramma ESP con A.A.A.1<\/b> con B.B.B.1<\/b>;<\/p>\n

20) il router su B.B.B.1 <\/b>riceve questo datagramma, lo decifra e ottiene un pacchetto da 192.168.A.1:3389<\/b> per 192.168.B.1:55555<\/b>;<\/p>\n

21) capisce che deve essere trasmesso esattamente a 192.168.B.1<\/b>, poich\u00e9 \u00e8 nella stessa rete, quindi ha una registrazione corrispondente nella tabella di instradamento che lo costringe a inviare pacchetti a tutta 192.168.B.0\/24<\/b> direttamente;<\/p>\n

22) il router trova l'indirizzo MAC per 192.168.B.1<\/b> e gli invia questo pacchetto;<\/p>\n

23) il sistema operativo del computer con l'indirizzo 192.168.B.1<\/b> riceve il pacchetto da 192.168.A.1:3389<\/b> per 192.168.B.1:55555<\/b> e avvia i passaggi successivi per stabilire una connessione TCP.<\/p>\n

In questo esempio, in modo piuttosto conciso e semplificato (e qui si possono ricordare altri dettagli), viene descritto ci\u00f2 che accade ai livelli 2-4. I livelli 1 e 5-7 non sono stati trattati.<\/p>\n

Posizione seconda<\/h3>\n

\nSe con 192.168.B.0\/24<\/b> qualcosa viene inviato precisamente a A.A.A.2<\/b>, non va in VPN, ma direttamente. Cio\u00e8, se l'utente con l'indirizzo 192.168.B.1<\/b> si riferisce a A.A.A.2:13389<\/b>, questo pacchetto viene inviato dall'indirizzo B.B.B.1<\/b>, passa a A.A.A.2<\/b>, e l\u00ec il router lo riceve e lo invia a 192.168.A.1<\/b>. 192.168.A.1<\/b> non sa nulla di 192.168.B.1<\/b>, vede il pacchetto da B.B.B.1<\/b>, poich\u00e9 \u00e8 stato inviato da lui. Pertanto, la risposta a questa richiesta segue il percorso principale, viene inviato dall'indirizzo A.A.A.2 <\/b>e va verso B.B.B.1<\/b>, e quel router restituisce questa risposta a 192.168.B.1<\/b>, quel router vede la risposta da A.A.A.2<\/b>, a cui si era rivolto.<\/p>\n

Un esempio concreto:<\/p>\n

1) 192.168.B.1<\/b> si riferisce a A.A.A.2<\/b>, desidera stabilire una connessione TCP con A.A.A.2:13389<\/b>;<\/p>\n

2) 192.168.B.1<\/b> invio di una richiesta di connessione da 192.168.B.1:55555<\/b> (questo numero, come nel caso precedente, potrebbe essere diverso) su A.A.A.2:13389<\/b>;<\/p>\n

3) il sistema operativo, che gira su un computer con indirizzo 192.168.B.1<\/b>, decide di inviare questo pacchetto all'indirizzo gateway del router (192.168.B.254<\/b> nel nostro caso), poich\u00e9 non ci sono altri percorsi pi\u00f9 specifici per A.A.A.2<\/b>, non ha, e quindi inoltra il pacchetto tramite il percorso predefinito (0.0.0.0\/0);<\/p>\n

4) per questo, come abbiamo gi\u00e0 accennato nel precedente esempio, cerca di trovare l'indirizzo MAC per l'indirizzo IP 192.168.B.254<\/b> nella tabella di cache del protocollo ARP. Se non viene trovato, invia dall'indirizzo 192.168.B.1<\/b> una richiesta who-has di broadcast alla rete 192.168.B.0\/24<\/b>. Quando 192.168.B.254<\/b> In risposta, invia il proprio indirizzo MAC, il sistema trasmette un pacchetto Ethernet per lui e memorizza queste informazioni nella sua tabella di cache;<\/p>\n

5) il router riceve questo pacchetto e decide dove inoltrarlo: ha una politica nel quale deve modificare (sostituendo l'indirizzo di ritorno) tutti i pacchetti da 192.168.B.0\/24<\/b> a altri nodi della rete Internet;<\/p>\n

6) poich\u00e9 questa politica implica che l'indirizzo di ritorno debba coincidere con il minor indirizzo sull'interfaccia attraverso cui sar\u00e0 inoltrato questo pacchetto, il router prima decide a chi precisamente inoltrare questo pacchetto e, come nel precedente esempio, deve inviarlo a B.B.B.254<\/b> (gateway del provider Internet) perch\u00e9 non ha percorsi pi\u00f9 specifici verso A.A.A.2<\/b>, diverso da 0.0.0.0\/0;<\/p>\n

7) quindi, il router sostituisce l'indirizzo di ritorno del pacchetto, quindi il pacchetto da B.B.B.1:44444<\/b> (il numero di porta, ovviamente, pu\u00f2 essere diverso) a A.A.A.2:13389<\/b>;<\/p>\n

8) il router ricorda ci\u00f2 che ha fatto, cos\u00ec quando da A.A.A.2:13389<\/b> a B.B.B.1:44444<\/b> arriva una risposta, sapr\u00e0 che deve cambiare l'indirizzo e la porta del destinatario a 192.168.B.1:55555<\/b>.<\/p>\n

9) ora il router deve inoltrarlo al provider di servizi Internet tramite B.B.B.254<\/b>, quindi, come abbiamo gi\u00e0 menzionato, trova l'indirizzo MAC per B.B.B.254 <\/b>e invia il pacchetto al gateway del provider Internet;<\/p>\n

10) I fornitori di servizi internet trasmettono i pacchetti attraverso le loro reti da B.B.B.1<\/b> con A.A.A.2<\/b>;<\/p>\n

11) il router virtuale su A.A.A.2<\/b> riceve questo pacchetto sulla porta 13389;<\/p>\n

12) sul router virtuale c'\u00e8 una regola che stabilisce che i pacchetti provenienti da qualsiasi mittente su questa porta devono essere trasmessi a 192.168.A.1:3389<\/b>;<\/p>\n

13) il router virtuale trova nella tabella di instradamento la rete 192.168.A.0\/24<\/b> e lo invia direttamente 192.168.A.<\/b>1, poich\u00e9 ha un'interfaccia 192.168.A.254\/24<\/b>;<\/p>\n

14) per questo, il router virtuale trova l'indirizzo MAC per 192.168.A.1<\/b> e gli trasmette questo pacchetto attraverso una rete Ethernet virtuale;<\/p>\n

15) 192.168.A.1<\/b> riceve questo pacchetto sulla porta 3389, accetta di stabilire una connessione e forma un pacchetto in risposta da 192.168.A.1:3389<\/b> con B.B.B.1:44444<\/b>;<\/p>\n

16) il suo sistema invia questo pacchetto all'indirizzo gateway del router virtuale (192.168.A.254<\/b> nel nostro caso), poich\u00e9 non ci sono altri percorsi pi\u00f9 specifici per B.B.B.1<\/b>, non avendolo, deve quindi trasmettere il pacchetto attraverso il percorso predefinito (0.0.0.0\/0);<\/p>\n

17) proprio come nei casi precedenti, il sistema che opera sul server con indirizzo 192.168.A.1<\/b>, trova l'indirizzo MAC 192.168.A.254<\/b>, poich\u00e9 si trova nella stessa rete della sua interfaccia 192.168.A.1\/24<\/b>;<\/p>\n

18) il router virtuale riceve questo pacchetto. Si noti che ricorda di aver ricevuto da A.A.A.2:13389<\/b> il pacchetto da B.B.B.1:44444<\/b> e ha cambiato l'indirizzo e la porta del destinatario a 192.168.A.1:3389<\/b>, quindi, per il pacchetto da 192.168.A.1:3389 <\/b>per B.B.B.1:44444<\/b> cambia l'indirizzo del mittente a A.A.A.2:13389<\/b>;<\/p>\n

19) il router virtuale decide a chi inviare questo pacchetto, lo invia a A.A.A.254<\/b> (gateway del provider Internet, in questo caso, siamo sempre noi), perch\u00e9 non ci sono percorsi pi\u00f9 specifici verso B.B.B.1<\/b>, diverso da 0.0.0.0\/0;<\/p>\n

20) i fornitori di servizi internet trasmettono attraverso le loro reti un pacchetto con A.A.A.2<\/b> con B.B.B.1<\/b>;<\/p>\n

21) il router su B.B.B.1<\/b> riceve questo pacchetto e ricorda che, quando ha trasmesso un pacchetto da 192.168.B.1:55555<\/b> per A.A.A.2:13389<\/b>, ha cambiato il suo indirizzo e la porta del mittente in B.B.B.1:44444<\/b>, quindi questa \u00e8 la risposta che deve essere inviata a 192.168.B.1:55555<\/b> (in realt\u00e0, ci sono anche altri controlli, ma non ci addentriamo);<\/p>\n

22) capisce che deve essere inviato direttamente a 192.168.B.1<\/b>, poich\u00e9 \u00e8 nella stessa rete, di conseguenza, ha nel suo routing una registrazione corrispondente che costringe a inviare i pacchetti a tutta 192.168.B.0\/24 <\/b>direttamente;<\/p>\n

23) il router trova l'indirizzo MAC per 192.168.B.1<\/b> e gli invia questo pacchetto;<\/p>\n

24) il sistema operativo sul computer con l'indirizzo 192.168.B.1<\/b> riceve il pacchetto da A.A.A.2:13389<\/b> per 192.168.B.1:55555<\/b> e avvia i passaggi successivi per stabilire una connessione TCP.<\/p>\n

\u00c8 importante notare che, in questo caso, il computer con l'indirizzo 192.168.B.1<\/b> non sa nulla del server con l'indirizzo 192.168.A.1<\/b>, comunica solo con A.A.A.2<\/b>. Allo stesso modo, il server con l'indirizzo 192.168.A.1<\/b> non sa nulla del computer con l'indirizzo 192.168.B.1<\/b>. Considera che ci si \u00e8 connessi dall'indirizzo B.B.B.1<\/b>, e non sa nient'altro, per cos\u00ec dire.<\/p>\n

Inoltre, va notato che nel caso in cui questo computer acceda a A.A.A.2:1540<\/b>, la connessione non verr\u00e0 stabilita, perch\u00e9 il port forwarding sulla porta 1540 non \u00e8 configurato sul router virtuale, anche se su alcuni server nella rete virtuale 192.168.A.0\/24<\/b> (ad esempio, sul server con l'indirizzo 192.168.A.1<\/b>) e ci sono alcuni servizi che aspettano connessioni su questa porta. Se l'utente del computer con indirizzo 192.168.B.1<\/b> deve assolutamente stabilire una connessione con questo servizio, deve utilizzare una VPN, cio\u00e8 contattare direttamente 192.168.A.1:1540<\/b>.<\/p>\n

Va sottolineato che qualsiasi tentativo di stabilire una connessione con A.A.A.1<\/b> oltre alla connessione IPSec da B.B.B.1<\/b> non avr\u00e0 successo. Qualsiasi tentativo di stabilire connessioni con A.A.A.2<\/b>, tranne per le connessioni sulla porta 13389, non avr\u00e0 successo.
\nInoltre, osserviamo che nel caso in cui a A.A.A.2 <\/b>si rivolga qualcun altro (ad esempio, C.C.C.C), tutto quanto indicato nei punti 10-20 riguarder\u00e0 anche lui. Ci\u00f2 che accade prima e dopo dipende da cosa si trova esattamente dietro questo C.C.C.C. Non abbiamo tali informazioni, quindi consigliamo di contattare gli amministratori del nodo con indirizzo C.C.C.C.<\/p>\n

Posizione trois<\/h3>\n

\nE, viceversa, se da 192.168.A.1 <\/b>viene inviato qualsiasi dato su una porta configurata per un forwarding interno su B.B.B.1 (ad esempio, 11111), esso non entra nella VPN, ma viene semplicemente inviato da A.A.A.1<\/b> e arriva a B.B.B.1<\/b>, che poi lo invia da qualche parte a, diciamo, 192.168.B.2:3389<\/b>. Quello vede questo pacchetto non da 192.168.A.1<\/b>, ma da A.A.A.1<\/b>. E, quando 192.168.B.2<\/b> risponde, il pacchetto proviene da B.B.B.1<\/b> con A.A.A.1,<\/b> e successivamente arriva all'iniziatore della connessione \u2014 192.168.A.1<\/b>.<\/p>\n

Un esempio concreto:<\/p>\n

1) 192.168.A.1<\/b> si riferisce a B.B.B.1<\/b>, desidera stabilire una connessione TCP con B.B.B.1:11111<\/b>;<\/p>\n

2) 192.168.A.1<\/b> invio di una richiesta di connessione da 192.168.A.1:55555<\/b> (questo numero, come nel caso precedente, potrebbe essere diverso) su B.B.B.1:11111<\/b>;<\/p>\n

3) sistema operativo che funziona su un server con indirizzo 192.168.A.1<\/b>, decide di inviare questo pacchetto all'indirizzo gateway del router (192.168.A.254<\/b> nel nostro caso), poich\u00e9 non ci sono altri percorsi pi\u00f9 specifici per B.B.B.1<\/b>, pertanto invia il pacchetto tramite il percorso predefinito (0.0.0.0\/0);<\/p>\n

4) per questo, come abbiamo menzionato nei precedenti esempi, cerca di trovare l'indirizzo MAC per l'indirizzo IP 192.168.A.254<\/b> nella tabella di cache del protocollo ARP. Se non viene trovato, invia dall'indirizzo 192.168.A.1<\/b> una richiesta who-has di broadcast alla rete 192.168.A.0\/24<\/b>. Quando 192.168.A.254<\/b> risponde inviandole il proprio indirizzo MAC, il sistema trasferisce il pacchetto Ethernet per esso e memorizza queste informazioni nella propria tabella di cache;<\/p>\n

5) il router virtuale riceve questo pacchetto e decide dove inviarlo: ha una politica stabilita che prevede di modificare (sostituendo l'indirizzo di ritorno) tutti i pacchetti provenienti da 192.168.A.0\/24<\/b> a altri nodi della rete Internet;<\/p>\n

6) poich\u00e9 questa politica prevede che l'indirizzo di ritorno debba coincidere con l'indirizzo inferiore sull'interfaccia attraverso la quale il pacchetto verr\u00e0 inviato, il router virtuale decide prima a chi inviare questo pacchetto, e come nel precedente esempio, deve inviarlo a A.A.A.254<\/b> (gateway del provider Internet, in questo caso, siamo sempre noi), perch\u00e9 non ci sono percorsi pi\u00f9 specifici verso B.B.B.1<\/b>, diverso da 0.0.0.0\/0;<\/p>\n

7) quindi, il router virtuale modifica l'indirizzo di ritorno del pacchetto, da ora in poi questo pacchetto proviene da A.A.A.1:44444<\/b> (il numero di porta, ovviamente, pu\u00f2 essere diverso) a B.B.B.1:11111<\/b>;<\/p>\n

8) il router virtuale ricorda ci\u00f2 che ha fatto, pertanto, quando arriva B.B.B.1:11111<\/b> per A.A.A.1:44444<\/b> arriva una risposta, sapr\u00e0 che deve cambiare l'indirizzo e la porta del destinatario a 192.168.A.1:55555<\/b>.<\/p>\n

9) ora il router virtuale deve inoltrarlo alla rete del provider di servizi Internet tramite A.A.A.254<\/b>, quindi, proprio come abbiamo gi\u00e0 menzionato, trova l'indirizzo MAC per A.A.A.254 <\/b>e invia il pacchetto al gateway del provider Internet;<\/p>\n

10) I fornitori di servizi internet trasmettono i pacchetti attraverso le loro reti da A.A.A.1 su B.B.B.1<\/b>;<\/p>\n

11) il router su B.B.B.1<\/b> riceve questo pacchetto sulla porta 11111;<\/p>\n

12) sul router virtuale esiste una regola che prevede che i pacchetti ricevuti da qualsiasi mittente su questa porta debbano essere inoltrati a 192.168.B.2:3389<\/b>;<\/p>\n

13) il router trova nella tabella di routing la rete 192.168.B.0\/24<\/b> e lo invia direttamente a 192.168.B.2<\/b>, poich\u00e9 ha un'interfaccia 192.168.B.254\/24<\/b>;<\/p>\n

14) per questo, il router virtuale trova l'indirizzo MAC per 192.168.B.2<\/b> e gli trasmette questo pacchetto attraverso una rete Ethernet virtuale;<\/p>\n

15) 192.168.B.2<\/b> riceve questo pacchetto sulla porta 3389, accetta di stabilire una connessione e forma un pacchetto in risposta da 192.168.B.2:3389<\/b> con A.A.A.1:44444<\/b>;<\/p>\n

16) il suo sistema inoltra questo pacchetto all'indirizzo gateway del router (192.168.B.254<\/b> nel nostro caso), poich\u00e9 non ci sono altri percorsi pi\u00f9 specifici per A.A.A.1<\/b>, non avendolo, deve quindi trasmettere il pacchetto attraverso il percorso predefinito (0.0.0.0\/0);<\/p>\n

17) proprio come nei casi precedenti, il sistema che opera su un computer con indirizzo 192.168.B.2<\/b>, trova l'indirizzo MAC 192.168.B.254<\/b>, poich\u00e9 si trova nella stessa rete della sua interfaccia 192.168.B.2\/24<\/b>;<\/p>\n

18) il router accetta questo pacchetto. \u00c8 importante notare che ricorda di aver ricevuto da B.B.B.1:11111<\/b> il pacchetto da A.A.A.1 <\/b>e ha cambiato l'indirizzo e la porta del destinatario a 192.168.B.2:3389<\/b>, quindi, per il pacchetto da 192.168.B.2:3389<\/b> per A.A.A.1:44444<\/b> cambia l'indirizzo del mittente a B.B.B.1:11111<\/b>;<\/p>\n

19) il router decide a chi inoltrare questo pacchetto. Lo invia a, diciamo, B.B.B.254 <\/b>(gateway del provider di servizi Internet, il cui indirizzo esatto non conosciamo), poich\u00e9 non ci sono percorsi pi\u00f9 specifici verso A.A.A.1<\/b>, diverso da 0.0.0.0\/0;<\/p>\n

20) i fornitori di servizi internet trasmettono attraverso le loro reti un pacchetto con B.B.B.1<\/b> con A.A.A.1<\/b>;<\/p>\n

21) il router virtuale su A.A.A.1 <\/b>riceve questo pacchetto e ricorda che, quando ha trasmesso un pacchetto da 192.168.A.1:55555<\/b> per B.B.B.1:11111<\/b>, ha cambiato il suo indirizzo e la porta del mittente in A.A.A.1:44444<\/b>. Quindi, questa \u00e8 la risposta che deve essere inviata a 192.168.A.1:55555<\/b> (in realt\u00e0, come abbiamo menzionato nell'esempio precedente, ci sono anche ulteriori controlli, ma anche questa volta non ci approfondiamo);<\/p>\n

22) lui capisce che deve essere passato direttamente a 192.168.A.1<\/b>, dato che si trova sulla stessa rete, quindi ha nella sua tabella di routing una corrispondente voce che lo costringe a inviare pacchetti per tutta la 192.168.A.0\/24<\/b> direttamente;<\/p>\n

23) il router trova l'indirizzo MAC per 192.168.A.1<\/b> e gli invia questo pacchetto;<\/p>\n

24) il sistema operativo sul server con indirizzo 192.168.A.1<\/b> riceve il pacchetto da B.B.B.1:1111<\/b>1 per 192.168.A.1:55555 <\/b>e avvia i passaggi successivi per stabilire una connessione TCP.<\/p>\n

Proprio come nel caso precedente, in questo caso il server con indirizzo 192.168.A.1<\/b> non sa nulla del computer con l'indirizzo 192.168.B.1<\/b>, comunica solo con B.B.B.1<\/b>. Il computer con indirizzo 192.168.B.1<\/b> non sa nulla sul server con indirizzo 192.168.A.1<\/b>. Considera che ci si \u00e8 connessi dall'indirizzo A.A.A.1<\/b>, mentre il resto \u00e8 nascosto da esso.<\/p>\n

Risultato<\/h3>\n

\nEcco come funzionano le connessioni all'interno di un tunnel VPN tra l'ufficio del cliente e l'ambiente nel cloud, cos\u00ec come le connessioni al di fuori del tunnel VPN. E se avete ulteriori domande o avete bisogno del nostro aiuto nella risoluzione di problemi cloud, contattateci 24 ore su 24, 7 giorni su 7.<\/a><\/noindex>
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0437 \u043f\u0438\u0441\u0435\u043c \u0432 \u0441\u043b\u0443\u0436\u0431\u0443 \u0442\u0435\u0445\u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Tucha \u0440\u043e\u0436\u0434\u0430\u044e\u0442\u0441\u044f \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0435 \u0441\u0442\u0430\u0442\u044c\u0438. \u0422\u0430\u043a, \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u043a \u043d\u0430\u043c \u043e\u0431\u0440\u0430\u0442\u0438\u043b\u0441\u044f \u043a\u043b\u0438\u0435\u043d\u0442 \u0441 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u043c \u0440\u0430\u0437\u044a\u044f\u0441\u043d\u0438\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f \u043c\u0435\u0436\u0434\u0443 \u043e\u0444\u0438\u0441\u043e\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0438 \u0441\u0440\u0435\u0434\u043e\u0439 \u0432 \u043e\u0431\u043b\u0430\u043a\u0435, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0435 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432\u0435\u0441\u044c \u0442\u0435\u043a\u0441\u0442, \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u0439 \u043d\u0438\u0436\u0435, \u2014 \u044d\u0442\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0435 \u043f\u0438\u0441\u044c\u043c\u043e, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043c\u044b \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b\u0438 \u043e\u0434\u043d\u043e\u043c\u0443 \u0438\u0437 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0432 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":53573,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-53572","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Cosa avviene durante le connessioni all'interno e all'esterno del tunnel VPN | ProHoster","description":"Dalle email inviate al servizio clienti di Tucha nascono articoli effettivi. Recentemente, un cliente ci ha contattato per chiedere chiarimenti su cosa avviene durante le connessioni all'interno del tunnel VPN tra l'ufficio dell'utente e l'ambiente cloud, nonch\u00e9 durante le connessioni al di fuori del tunnel VPN. Pertanto, tutto il testo riportato di seguito \u00e8 una vera email che abbiamo inviato a uno dei clienti in risposta a","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0427\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 \u0438 \u0432\u043d\u0435 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f | ProHoster","og:description":"\u0418\u0437 \u043f\u0438\u0441\u0435\u043c \u0432 \u0441\u043b\u0443\u0436\u0431\u0443 \u0442\u0435\u0445\u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Tucha \u0440\u043e\u0436\u0434\u0430\u044e\u0442\u0441\u044f \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0435 \u0441\u0442\u0430\u0442\u044c\u0438. \u0422\u0430\u043a, \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u043a \u043d\u0430\u043c \u043e\u0431\u0440\u0430\u0442\u0438\u043b\u0441\u044f \u043a\u043b\u0438\u0435\u043d\u0442 \u0441 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u043c \u0440\u0430\u0437\u044a\u044f\u0441\u043d\u0438\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f \u043c\u0435\u0436\u0434\u0443 \u043e\u0444\u0438\u0441\u043e\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0438 \u0441\u0440\u0435\u0434\u043e\u0439 \u0432 \u043e\u0431\u043b\u0430\u043a\u0435, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0435 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432\u0435\u0441\u044c \u0442\u0435\u043a\u0441\u0442, \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u0439 \u043d\u0438\u0436\u0435, \u2014 \u044d\u0442\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0435 \u043f\u0438\u0441\u044c\u043c\u043e, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043c\u044b \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b\u0438 \u043e\u0434\u043d\u043e\u043c\u0443 \u0438\u0437 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0432 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-04T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:29+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53572","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-04 15:17:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:22:50","updated":"2026-02-04 15:17:19"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/53572","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=53572"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/53572\/revisions"}],"predecessor-version":[{"id":156714,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/53572\/revisions\/156714"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/53573"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=53572"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=53572"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=53572"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}