რა ხდება კავშირებზე VPN გვირაბის შიგნით და გარეთ

რეალური სტატიები იბადება თუჩას ტექნიკური დახმარების წერილებიდან. მაგალითად, კლიენტმა ახლახან მოგვმართა თხოვნით, განემარტა რა ხდება VPN გვირაბის შიგნით მომხმარებლის ოფისსა და ღრუბლოვან გარემოს შორის კავშირების დროს, ასევე VPN გვირაბის გარეთ კავშირების დროს. მაშასადამე, ქვემოთ მოცემული მთელი ტექსტი არის რეალური წერილი, რომელიც ჩვენ ერთ-ერთ კლიენტს გავუგზავნეთ მისი კითხვის პასუხად. რა თქმა უნდა, IP მისამართები შეიცვალა ისე, რომ არ მოხდეს კლიენტის ანონიმიზაცია. მაგრამ, დიახ, თუჩას ტექნიკური მხარდაჭერა მართლაც ცნობილია თავისი დეტალური პასუხებითა და ინფორმაციული ელ.წერილებით. 🙂

რა თქმა უნდა, ჩვენ გვესმის, რომ ბევრისთვის ეს სტატია არ იქნება გამოცხადება. მაგრამ, რადგან ახალბედა ადმინისტრატორების სტატიები დროდადრო ჩნდება Habr-ზე და ასევე, რადგან ეს სტატია რეალური კლიენტისთვის რეალური წერილიდან გამოჩნდა, ამ ინფორმაციას მაინც აქ გავაზიარებთ. დიდია ალბათობა იმისა, რომ ეს ვინმეს გამოადგება.
აქედან გამომდინარე, ჩვენ დეტალურად განვმარტავთ, რა ხდება ღრუბელში არსებულ სერვერსა და ოფისს შორის, თუ ისინი დაკავშირებულია საიტიდან საიტის ქსელით. გაითვალისწინეთ, რომ ზოგიერთ სერვისზე წვდომა შესაძლებელია მხოლოდ ოფისიდან, ზოგიერთზე კი ინტერნეტის ნებისმიერი ადგილიდან.

მოდით დაუყოვნებლივ ავუხსნათ რა სურდა ჩვენს კლიენტს სერვერზე 192.168.A.1 თქვენ შეგიძლიათ მოხვიდეთ ნებისმიერი ადგილიდან RDP-ის საშუალებით, დაკავშირება AAA2: 13389და სხვა სერვისებზე წვდომა მხოლოდ ოფისიდან (192.168.B.0/24)დაკავშირებულია VPN-ით. ასევე, კლიენტს თავდაპირველად ჰქონდა კონფიგურირებული მანქანა 192.168.B.2 ოფისში ასევე შესაძლებელი იყო RDP-ის გამოყენება ნებისმიერი ადგილიდან, დაკავშირება BBB1: 11111. ჩვენ დავეხმარეთ Cloud-სა და ოფისს შორის IPSec კავშირების ორგანიზებას და მომხმარებლის IT სპეციალისტმა დაიწყო კითხვების დასმა იმის შესახებ, თუ რა მოხდებოდა ამა თუ იმ შემთხვევაში. ყველა ამ კითხვაზე პასუხის გასაცემად, ჩვენ, ფაქტობრივად, მივწერეთ მას ყველაფერი, რაც შეგიძლიათ წაიკითხოთ ქვემოთ.

ახლა მოდით შევხედოთ ამ პროცესებს უფრო დეტალურად.

პოზიცია პირველი

როცა რამე იგზავნება 192.168.ბ.0/24 в 192.168.ა.0/24 ან 192.168.ა.0/24 в 192.168.ბ.0/24, ის შედის VPN-ში. ანუ, ეს პაკეტი დამატებით არის დაშიფრული და გადაცემული შორის BBB1 и AAA1მაგრამ 192.168.A.1 ხედავს პაკეტს ზუსტად საიდან 192.168.B.1. მათ შეუძლიათ ერთმანეთთან კომუნიკაცია ნებისმიერი პროტოკოლის გამოყენებით. დაბრუნების პასუხები გადაეცემა იმავე გზით VPN-ის საშუალებით, რაც ნიშნავს, რომ პაკეტიდან 192.168.A.1 ამისთვის 192.168.B.1 გაიგზავნება როგორც ESP დატაგრამა AAA1 on BBB1, რომელსაც როუტერი გაშლის იმ მხარეს, ამოიღეთ ეს პაკეტი და გაუგზავნეთ მას 192.168.B.1 როგორც პაკეტი 192.168.A.1.

კონკრეტული მაგალითი:

1) 192.168.B.1 მიმართავს 192.168.A.1, სურს დაამყაროს TCP კავშირი 192.168.A.1:3389;

2) 192.168.B.1 აგზავნის კავშირის მოთხოვნას 192.168.B.1:55555 (ის ირჩევს პორტის ნომერს გამოხმაურებისთვის; შემდგომში ჩვენ გამოვიყენებთ ნომერს 55555, როგორც პორტის ნომრის მაგალითს, რომელსაც სისტემა ირჩევს TCP კავშირის შექმნისას) 192.168.A.1:3389;

3) ოპერაციული სისტემა, რომელიც მუშაობს კომპიუტერზე მისამართით 192.168.B.1, გადაწყვეტს გადააგზავნოს ეს პაკეტი როუტერის კარიბჭის მისამართზე (192.168.B.254 ჩვენს შემთხვევაში), რადგან სხვა, უფრო კონკრეტული მარშრუტები 192.168.A.1, არ გააჩნია, შესაბამისად, გადასცემს პაკეტს ნაგულისხმევი მარშრუტით (0.0.0.0/0);

4) ამისათვის ის ცდილობს იპოვოთ MAC მისამართი IP მისამართისთვის 192.168.B.254 ARP პროტოკოლის ქეშის ცხრილში. თუ ის არ არის აღმოჩენილი, იგზავნება მისამართიდან 192.168.B.1 მაუწყებლობა, ვისაც აქვს მოთხოვნა ქსელში 192.168.ბ.0/24. როდის 192.168.B.254 საპასუხოდ, ის უგზავნის მას MAC მისამართს, სისტემა გადასცემს მისთვის Ethernet პაკეტს და შეაქვს ეს ინფორმაცია ქეშის ცხრილში;

5) როუტერი იღებს ამ პაკეტს და წყვეტს სად გადააგზავნოს იგი: მას აქვს წერილობითი პოლიტიკა, რომლის მიხედვითაც მან უნდა გაგზავნოს ყველა პაკეტს შორის 192.168.ბ.0/24 и 192.168.ა.0/24 გადაცემა VPN კავშირზე შორის BBB1 и AAA1;

6) როუტერი აგენერირებს ESP დატაგრამას BBB1 on AAA1;

7) როუტერი წყვეტს ვის გაუგზავნოს ეს პაკეტი, ის უგზავნის მას, ვთქვათ, BBB254 (ISP კარიბჭე), რადგან არსებობს უფრო კონკრეტული მარშრუტები AAA1, ვიდრე 0.0.0.0/0, არ აქვს;

8) ზუსტად იგივე, რაც უკვე ითქვა, ის პოულობს MAC მისამართს BBB254 და გადასცემს პაკეტს ISP კარიბჭეზე;

9) ინტერნეტ პროვაიდერები გადასცემენ ESP დატაგრამას BBB1 on AAA1;

10) ჩართულია ვირტუალური როუტერი AAA1 იღებს ამ დატაგრამას, შიფრავს მას და იღებს პაკეტს 192.168.B.1:55555 ამისთვის 192.168.A.1:3389;

11) ვირტუალური როუტერი ამოწმებს ვის გადასცეს, პოულობს ქსელს მარშრუტიზაციის ცხრილში 192.168.ა.0/24 და აგზავნის პირდაპირ 192.168.A.1, რადგან მას აქვს ინტერფეისი 192.168.ა.254/24;

12) ამისათვის ვირტუალური როუტერი პოულობს MAC მისამართს 192.168.A.1 და გადასცემს მას ამ პაკეტს ვირტუალური Ethernet ქსელის მეშვეობით;

13) 192.168.A.1 იღებს ამ პაკეტს 3389 პორტზე, თანხმდება კავშირის დამყარებაზე და ქმნის პაკეტს საპასუხოდ 192.168.A.1:3389 on 192.168.B.1:55555;

14) მისი სისტემა გადასცემს ამ პაკეტს ვირტუალური როუტერის კარიბჭის მისამართზე (192.168.A.254 ჩვენს შემთხვევაში), რადგან სხვა, უფრო კონკრეტული მარშრუტები 192.168.B.1, მას არ გააჩნია, შესაბამისად, უნდა გადასცეს პაკეტი ნაგულისხმევი მარშრუტით (0.0.0.0/0);

15) იგივე, რაც წინა შემთხვევებში, სისტემა, რომელიც მუშაობს სერვერზე მისამართით 192.168.A.1, პოულობს MAC მისამართს 192.168.A.254, რადგან ის იმავე ქსელშია თავისი ინტერფეისით 192.168.ა.1/24;

16) ვირტუალური როუტერი იღებს ამ პაკეტს და წყვეტს სად გადააგზავნოს იგი: მას აქვს წერილობითი პოლიტიკა, რომლის მიხედვითაც მან უნდა გაგზავნოს ყველა პაკეტს შორის 192.168.ა.0/24 и 192.168.ბ.0/24 გადაცემა VPN კავშირზე შორის AAA1 и BBB1;

17) ვირტუალური როუტერი აწარმოებს ESP მონაცემთა გრამას AAA1 ამისთვის BBB1;

18) ვირტუალური როუტერი წყვეტს ვის გაუგზავნოს ეს პაკეტი, უგზავნის მას AAA254 (ISP კარიბჭე, ამ შემთხვევაში, ეს ჩვენც ვართ), რადგან არსებობს უფრო კონკრეტული მარშრუტები BBB1, ვიდრე 0.0.0.0/0, არ აქვს;

19) ინტერნეტ პროვაიდერები გადასცემენ ESP დატაგრამას თავიანთ ქსელებში AAA1 on BBB1;

20) როუტერი ჩართულია BBB1 იღებს ამ დატაგრამას, შიფრავს მას და იღებს პაკეტს 192.168.A.1:3389 ამისთვის 192.168.B.1:55555;

21) მას ესმის, რომ ის კონკრეტულად უნდა გადაეცეს 192.168.B.1, ვინაიდან ის მასთან ერთსა და იმავე ქსელშია, ამიტომ მას აქვს შესაბამისი ჩანაწერი მარშრუტიზაციის ცხრილში, რაც აიძულებს მას გაგზავნოს პაკეტები მთელი 192.168.ბ.0/24 პირდაპირ;

22) როუტერი პოულობს MAC მისამართს 192.168.B.1 და გადასცემს მას ამ პაკეტს;

23) ოპერაციული სისტემა კომპიუტერზე მისამართით 192.168.B.1 იღებს პაკეტს 192.168.A.1:3389 ამისთვის 192.168.B.1:55555 და იწყებს შემდეგ ნაბიჯებს TCP კავშირის დასამყარებლად.

ეს მაგალითი საკმაოდ მოკლედ და გამარტივებულად (და აქ შეგიძლიათ დაიმახსოვროთ სხვა დეტალები) აღწერს რა ხდება 2-4 დონეზე. დონე 1, 5-7 არ განიხილება.

პოზიცია მეორე

თუ თან 192.168.ბ.0/24 რაღაც იგზავნება სპეციალურად AAA2, ის არ მიდის VPN-ზე, არამედ პირდაპირ. ანუ თუ მომხმარებელი მისამართიდან 192.168.B.1 მიმართავს AAA2: 13389, ეს პაკეტი მოდის მისამართიდან BBB1, გადის AAA2, და შემდეგ როუტერი იღებს მას და გადასცემს მას 192.168.A.1. 192.168.A.1 არაფერი იცის 192.168.B.1, საიდან ხედავს პაკეტს BBB1, რადგან მან მიიღო იგი. ამიტომ, ამ მოთხოვნაზე პასუხი მიჰყვება ზოგად მარშრუტს, ის იგივე გზით მოდის მისამართიდან AAA2 და მიდის BBB1და როუტერი აგზავნის ამ პასუხს 192.168.B.1, საიდან ხედავს პასუხს AAA2, რომელსაც მან მიმართა.

კონკრეტული მაგალითი:

1) 192.168.B.1 მიმართავს AAA2, სურს დაამყაროს TCP კავშირი AAA2: 13389;

2) 192.168.B.1 აგზავნის კავშირის მოთხოვნას 192.168.B.1:55555 (ეს რიცხვი, როგორც წინა მაგალითში, შეიძლება განსხვავებული იყოს) on AAA2: 13389;

3) ოპერაციული სისტემა, რომელიც მუშაობს კომპიუტერზე მისამართით 192.168.B.1, გადაწყვეტს გადააგზავნოს ეს პაკეტი როუტერის კარიბჭის მისამართზე (192.168.B.254 ჩვენს შემთხვევაში), რადგან სხვა, უფრო კონკრეტული მარშრუტები AAA2, მას არ აქვს, რაც ნიშნავს, რომ ის გადასცემს პაკეტს ნაგულისხმევი მარშრუტით (0.0.0.0/0);

4) ამისათვის, როგორც წინა მაგალითში აღვნიშნეთ, ის ცდილობს მოძებნოს MAC მისამართი IP მისამართისთვის 192.168.B.254 ARP პროტოკოლის ქეშის ცხრილში. თუ ის არ არის აღმოჩენილი, იგზავნება მისამართიდან 192.168.B.1 მაუწყებლობა, ვისაც აქვს მოთხოვნა ქსელში 192.168.ბ.0/24. როდის 192.168.B.254 საპასუხოდ, ის უგზავნის მას MAC მისამართს, სისტემა გადასცემს მისთვის Ethernet პაკეტს და შეაქვს ეს ინფორმაცია ქეშის ცხრილში;

5) როუტერი იღებს ამ პაკეტს და წყვეტს სად გადააგზავნოს იგი: მას აქვს წერილობითი პოლიტიკა, რომლის მიხედვითაც მან უნდა გადააგზავნოს (დაბრუნების მისამართის შეცვლა) ყველა პაკეტი 192.168.ბ.0/24 სხვა ინტერნეტ კვანძებისკენ;

6) ვინაიდან ეს პოლიტიკა გულისხმობს, რომ დაბრუნების მისამართი უნდა ემთხვეოდეს ინტერფეისის დაბალ მისამართს, რომლის მეშვეობითაც ეს პაკეტი გადაიცემა, როუტერი ჯერ წყვეტს ვის გაუგზავნოს ეს პაკეტი და მან, როგორც წინა მაგალითში, უნდა გამოაგზავნოს იგი. რომ BBB254 (ISP კარიბჭე), რადგან არსებობს უფრო კონკრეტული მარშრუტები AAA2, ვიდრე 0.0.0.0/0, არ აქვს;

7) შესაბამისად, როუტერი ცვლის პაკეტის დაბრუნების მისამართს, ამიერიდან პაკეტი არის BBB1: 44444 (პორტის ნომერი, რა თქმა უნდა, შეიძლება განსხვავებული იყოს) to AAA2: 13389;

8) როუტერი ახსოვს რა გააკეთა, რაც ნიშნავს როდის AAA2: 13389 к BBB1: 44444 პასუხი მოდის, მან იცის, რომ უნდა შეცვალოს დანიშნულების მისამართი და პორტი 192.168.B.1:55555.

9) ახლა როუტერმა უნდა გადასცეს ის ISP ქსელს მეშვეობით BBB254ამიტომ, როგორც უკვე აღვნიშნეთ, ის პოულობს MAC მისამართს BBB254 და გადასცემს პაკეტს ISP კარიბჭეზე;

10) ინტერნეტ პროვაიდერები გადასცემენ პაკეტებს BBB1 on AAA2;

11) ჩართულია ვირტუალური როუტერი AAA2 იღებს ამ პაკეტს პორტზე 13389;

12) არსებობს წესი ვირტუალურ როუტერზე, რომელიც ადგენს, რომ ამ პორტზე ნებისმიერი გამგზავნისგან მიღებული პაკეტები უნდა გადაეცეს 192.168.A.1:3389;

13) ვირტუალური როუტერი პოულობს ქსელს მარშრუტიზაციის ცხრილში 192.168.ა.0/24 და პირდაპირ აგზავნის 192.168.ა.1 იმიტომ, რომ მას აქვს ინტერფეისი 192.168.ა.254/24;

14) ამისათვის ვირტუალური როუტერი პოულობს MAC მისამართს 192.168.A.1 და გადასცემს მას ამ პაკეტს ვირტუალური Ethernet ქსელის მეშვეობით;

15) 192.168.A.1 იღებს ამ პაკეტს 3389 პორტზე, თანხმდება კავშირის დამყარებაზე და ქმნის პაკეტს საპასუხოდ 192.168.A.1:3389 on BBB1: 44444;

16) მისი სისტემა გადასცემს ამ პაკეტს ვირტუალური როუტერის კარიბჭის მისამართზე (192.168.A.254 ჩვენს შემთხვევაში), რადგან სხვა, უფრო კონკრეტული მარშრუტები BBB1, მას არ გააჩნია, შესაბამისად, უნდა გადასცეს პაკეტი ნაგულისხმევი მარშრუტით (0.0.0.0/0);

17) ზუსტად იგივე, რაც წინა შემთხვევებში, სისტემა, რომელიც მუშაობს სერვერზე მისამართით 192.168.A.1, პოულობს MAC მისამართს 192.168.A.254, რადგან ის იმავე ქსელშია თავისი ინტერფეისით 192.168.ა.1/24;

18) ვირტუალური როუტერი იღებს ამ პაკეტს. აღსანიშნავია, რომ მას ახსოვს რა მიიღო AAA2: 13389 პაკეტიდან BBB1: 44444 და შეცვალა მისი მიმღების მისამართი და პორტი 192.168.A.1:3389, შესაბამისად, პაკეტიდან 192.168.A.1:3389 ამისთვის BBB1: 44444 ის ცვლის გამგზავნის მისამართს AAA2: 13389;

19) ვირტუალური როუტერი წყვეტს ვის გაუგზავნოს ეს პაკეტი, ის აგზავნის მას AAA254 (ISP კარიბჭე, ამ შემთხვევაში, ეს ჩვენც ვართ), რადგან არსებობს უფრო კონკრეტული მარშრუტები BBB1, ვიდრე 0.0.0.0/0, არ აქვს;

20) ინტერნეტ პროვაიდერები გადასცემენ პაკეტს AAA2 on BBB1;

21) როუტერი ჩართულია BBB1 იღებს ამ პაკეტს და ახსოვს, რომ როდესაც მან გაგზავნა პაკეტი 192.168.B.1:55555 ამისთვის AAA2: 13389მან შეცვალა მისამართი და გამგზავნის პორტი BBB1: 44444, მაშინ ეს არის პასუხი, რომელზეც უნდა გაიგზავნოს 192.168.B.1:55555 (ფაქტობრივად, იქ კიდევ რამდენიმე შემოწმებაა, მაგრამ ამაში ღრმად არ ჩავალთ);

22) მას ესმის, რომ ის პირდაპირ უნდა გადაეცეს 192.168.B.1, ვინაიდან ის მასთან ერთსა და იმავე ქსელშია, ამიტომ მას აქვს შესაბამისი ჩანაწერი მარშრუტიზაციის ცხრილში, რაც აიძულებს მას გაგზავნოს პაკეტები მთელი 192.168.ბ.0/24 პირდაპირ;

23) როუტერი პოულობს MAC მისამართს 192.168.B.1 და გადასცემს მას ამ პაკეტს;

24) ოპერაციული სისტემა კომპიუტერზე მისამართით 192.168.B.1 იღებს პაკეტს AAA2: 13389 ამისთვის 192.168.B.1:55555 და იწყებს შემდეგ ნაბიჯებს TCP კავშირის დასამყარებლად.

აღსანიშნავია, რომ ამ შემთხვევაში კომპიუტერი მისამართით 192.168.B.1 არაფერი იცის სერვერის შესახებ მისამართით 192.168.A.1, ის მხოლოდ ურთიერთობს AAA2. ანალოგიურად, სერვერი მისამართით 192.168.A.1 კომპიუტერის შესახებ არაფერი იცის მისამართით 192.168.B.1. მას მიაჩნია, რომ მისამართიდან იყო დაკავშირებული BBB1, და სხვა, ასე ვთქვათ, არაფერი იცის.

ასევე უნდა აღინიშნოს, რომ თუ ეს კომპიუტერი წვდება AAA2: 1540, კავშირი არ დამყარდება, რადგან 1540 პორტთან კავშირის გადამისამართება არ არის კონფიგურირებული ვირტუალურ როუტერზე, თუნდაც ვირტუალური ქსელის რომელიმე სერვერზე 192.168.ა.0/24 (მაგალითად, სერვერზე მისამართით 192.168.A.1) და არის რამდენიმე სერვისი, რომელიც ელოდება კავშირებს ამ პორტზე. თუ კომპიუტერის მომხმარებელი მისამართით 192.168.B.1 ამ სერვისთან კავშირის დამყარება აუცილებელია, მან უნდა გამოიყენოს VPN, ე.ი. დაუკავშირდით პირდაპირ 192.168.A.1:1540.

ხაზგასმით უნდა აღინიშნოს, რომ კავშირის დამყარების ნებისმიერი მცდელობა AAA1 (გარდა IPSec კავშირისა BBB1 არ იქნება წარმატებული. კავშირების დამყარების ნებისმიერი მცდელობა AAA213389 პორტთან კავშირების გარდა, ასევე არ იქნება წარმატებული.
ასევე აღვნიშნავთ, რომ თუ AAA2 თუ ვინმე სხვა მიმართავს (მაგალითად, CCCC), ყველაფერი, რაც მითითებულია 10-20 პუნქტებში, მასაც შეეხება. რა ხდება მანამდე და ამის შემდეგ, დამოკიდებულია იმაზე, თუ რა დგას ამ CCCC-ის უკან, ჩვენ არ გვაქვს ასეთი ინფორმაცია, ამიტომ გირჩევთ, მიმართოთ კვანძის ადმინისტრატორებს CCCC მისამართით.

პოზიცია სამი

და, პირიქით, თუ ერთად 192.168.A.1 რაღაც იგზავნება ზოგიერთ პორტში, რომელიც კონფიგურირებულია BBB1-ზე გადასატანად (მაგალითად, 11111), ის ასევე არ მთავრდება VPN-ში, არამედ უბრალოდ მიედინება AAA1 და შედის BBB1და ის უკვე გადასცემს მას სადღაც, ვთქვათ, 192.168.B.2:3389. ის ხედავს ამ პაკეტს არა დან 192.168.A.1, მაგრამ AAA1. Და როცა 192.168.B.2 პასუხობს, პაკეტი მოდის BBB1 on AAA1, და მოგვიანებით მიდის კავშირის ინიციატორი - 192.168.A.1.

კონკრეტული მაგალითი:

1) 192.168.A.1 მიმართავს BBB1, სურს დაამყაროს TCP კავშირი BBB1: 11111;

2) 192.168.A.1 აგზავნის კავშირის მოთხოვნას 192.168.A.1:55555 (ეს რიცხვი, როგორც წინა მაგალითში, შეიძლება განსხვავებული იყოს) on BBB1: 11111;

3) ოპერაციული სისტემა, რომელიც მუშაობს სერვერზე მისამართით 192.168.A.1, გადაწყვეტს გადააგზავნოს ეს პაკეტი როუტერის კარიბჭის მისამართზე (192.168.A.254 ჩვენს შემთხვევაში), რადგან სხვა, უფრო კონკრეტული მარშრუტები BBB1, არ გააჩნია, შესაბამისად, გადასცემს პაკეტს ნაგულისხმევი მარშრუტით (0.0.0.0/0);

4) ამისათვის, როგორც წინა მაგალითებში აღვნიშნეთ, ის ცდილობს მოძებნოს MAC მისამართი IP მისამართისთვის 192.168.A.254 ARP პროტოკოლის ქეშის ცხრილში. თუ ის არ არის აღმოჩენილი, იგზავნება მისამართიდან 192.168.A.1 მაუწყებლობა, ვისაც აქვს მოთხოვნა ქსელში 192.168.ა.0/24. როდის 192.168.A.254 საპასუხოდ, ის უგზავნის მას თავის MAC მისამართს, სისტემა გადასცემს მისთვის Ethernet პაკეტს და შეაქვს ეს ინფორმაცია მის ქეშის ცხრილში;

5) ვირტუალური როუტერი იღებს ამ პაკეტს და წყვეტს სად გადააგზავნოს იგი: მას აქვს წერილობითი პოლიტიკა, რომლის მიხედვითაც მან უნდა გადააგზავნოს (დაბრუნების მისამართის შეცვლა) ყველა პაკეტი. 192.168.ა.0/24 სხვა ინტერნეტ კვანძებისკენ;

6) ვინაიდან ეს პოლიტიკა ვარაუდობს, რომ დაბრუნების მისამართი უნდა ემთხვეოდეს ინტერფეისის დაბალ მისამართს, რომლის მეშვეობითაც ეს პაკეტი გადაიცემა, ვირტუალური როუტერი ჯერ წყვეტს ვის გაუგზავნოს ეს პაკეტი და მან, როგორც წინა მაგალითში, უნდა გაუგზავნოს მასზე AAA254 (ISP კარიბჭე, ამ შემთხვევაში, ეს ჩვენც ვართ), რადგან არსებობს უფრო კონკრეტული მარშრუტები BBB1, ვიდრე 0.0.0.0/0, არ აქვს;

7) ეს ნიშნავს, რომ ვირტუალური როუტერი ცვლის პაკეტის დაბრუნების მისამართს, ამიერიდან ის არის პაკეტი AAA1: 44444 (პორტის ნომერი, რა თქმა უნდა, შეიძლება განსხვავებული იყოს) to BBB1: 11111;

8) ვირტუალური როუტერი ახსოვს რა გააკეთა, შესაბამისად, როდის BBB1: 11111 ამისთვის AAA1: 44444 პასუხი მოდის, მან იცის, რომ უნდა შეცვალოს დანიშნულების მისამართი და პორტი 192.168.A.1:55555.

9) ახლა ვირტუალურმა როუტერმა უნდა გადასცეს ის ISP ქსელს მეშვეობით AAA254, ასე რომ, როგორც უკვე აღვნიშნეთ, ის პოულობს MAC მისამართს AAA254 და გადასცემს პაკეტს ISP კარიბჭეზე;

10) ინტერნეტ პროვაიდერები გადასცემენ პაკეტებს AAA1-დან BBB1-მდე;

11) როუტერი ჩართულია BBB1 იღებს ამ პაკეტს პორტზე 11111;

12) არის წესი ვირტუალურ როუტერზე, რომელიც ადგენს, რომ ამ პორტზე ნებისმიერი გამგზავნისგან ჩამოსული პაკეტები უნდა გადაეცეს 192.168.B.2:3389;

13) როუტერი პოულობს ქსელს მარშრუტიზაციის ცხრილში 192.168.ბ.0/24 და აგზავნის პირდაპირ 192.168.B.2, რადგან მას აქვს ინტერფეისი 192.168.ბ.254/24;

14) ამისათვის ვირტუალური როუტერი პოულობს MAC მისამართს 192.168.B.2 და გადასცემს მას ამ პაკეტს ვირტუალური Ethernet ქსელის მეშვეობით;

15) 192.168.B.2 იღებს ამ პაკეტს 3389 პორტზე, თანხმდება კავშირის დამყარებაზე და ქმნის პაკეტს საპასუხოდ 192.168.B.2:3389 on AAA1: 44444;

16) მისი სისტემა გადასცემს ამ პაკეტს როუტერის კარიბჭის მისამართზე (192.168.B.254 ჩვენს შემთხვევაში), რადგან სხვა, უფრო კონკრეტული მარშრუტები AAA1, მას არ გააჩნია, შესაბამისად, უნდა გადასცეს პაკეტი ნაგულისხმევი მარშრუტით (0.0.0.0/0);

17) ისევე, როგორც წინა შემთხვევებში, სისტემა, რომელიც მუშაობს კომპიუტერზე მისამართით 192.168.B.2, პოულობს MAC მისამართს 192.168.B.254, რადგან ის იმავე ქსელშია თავისი ინტერფეისით 192.168.ბ.2/24;

18) როუტერი იღებს ამ პაკეტს. უნდა აღინიშნოს, რომ მას ახსოვს რა მიიღო BBB1: 11111 პაკეტიდან AAA1 და შეცვალა მისი მიმღების მისამართი და პორტი 192.168.B.2:3389, შესაბამისად, პაკეტიდან 192.168.B.2:3389 ამისთვის AAA1: 44444 ის ცვლის გამგზავნის მისამართს BBB1: 11111;

19) როუტერი წყვეტს ვის გაუგზავნოს ეს პაკეტი. ის უგზავნის მას, ვთქვათ, BBB254 (ISP gateway, რომლის ზუსტი მისამართი ჩვენ არ ვიცით), რადგან არ არსებობს უფრო კონკრეტული მარშრუტები AAA1, ვიდრე 0.0.0.0/0, არ აქვს;

20) ინტერნეტ პროვაიდერები გადასცემენ პაკეტს BBB1 on AAA1;

21) ჩართულია ვირტუალური როუტერი AAA1 იღებს ამ პაკეტს და ახსოვს, რომ როდესაც მან გაგზავნა პაკეტი 192.168.A.1:55555 ამისთვის BBB1: 11111მან შეცვალა მისამართი და გამგზავნის პორტი AAA1: 44444. ეს ნიშნავს, რომ ეს არის პასუხი, რომელზეც უნდა გაიგზავნოს 192.168.A.1:55555 (ფაქტობრივად, როგორც წინა მაგალითში აღვნიშნეთ, ასევე არის კიდევ რამდენიმე შემოწმება, მაგრამ ამჯერად მათ არ ჩავუღრმავდებით);

22) მას ესმის, რომ ის პირდაპირ უნდა გადაეცეს 192.168.A.1, რადგან ის მასთან ერთსა და იმავე ქსელშია, ეს ნიშნავს, რომ მას აქვს შესაბამისი ჩანაწერი მარშრუტიზაციის ცხრილში, რომელიც აიძულებს მას გაუგზავნოს პაკეტები მთელს 192.168.ა.0/24 პირდაპირ;

23) როუტერი პოულობს MAC მისამართს 192.168.A.1 და გადასცემს მას ამ პაკეტს;

24) ოპერაციული სისტემა სერვერზე მისამართით 192.168.A.1 იღებს პაკეტს BBB1: 11111 ამისთვის 192.168.A.1:55555 და იწყებს შემდეგ ნაბიჯებს TCP კავშირის დასამყარებლად.

ზუსტად იგივე, რაც წინა შემთხვევაში, ამ შემთხვევაში სერვერი მისამართით 192.168.A.1 კომპიუტერის შესახებ არაფერი იცის მისამართით 192.168.B.1, ის მხოლოდ ურთიერთობს BBB1. კომპიუტერი მისამართით 192.168.B.1 ასევე არაფერი იცის სერვერის შესახებ მისამართით 192.168.A.1. მას მიაჩნია, რომ მისამართიდან იყო დაკავშირებული AAA1, ხოლო დანარჩენი მისგან დაფარულია.

გამოყვანის

ასე ხდება ყველაფერი VPN გვირაბის შიგნით კლიენტის ოფისსა და ღრუბლოვან გარემოს შორის კავშირებისთვის, ასევე VPN გვირაბის გარეთ კავშირებისთვის. და თუ თქვენ გაქვთ რაიმე შეკითხვა ან გჭირდებათ ჩვენი დახმარება ღრუბლოვანი პრობლემების გადაჭრაში, დაგვიკავშირდით 24x7.

წყარო: www.habr.com