{"id":53572,"date":"2019-12-05T00:00:00","date_gmt":"2019-12-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya"},"modified":"2020-02-18T14:01:29","modified_gmt":"2020-02-18T11:01:29","slug":"chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","title":{"rendered":"O que acontece nas conex\u00f5es dentro e fora do t\u00fanel VPN","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Das cartas enviadas ao suporte t\u00e9cnico da Tucha nascem verdadeiros artigos. Recentemente, um cliente nos contatou pedindo esclarecimentos sobre o que acontece nas conex\u00f5es dentro do t\u00fanel VPN entre o escrit\u00f3rio do usu\u00e1rio e o ambiente na nuvem, bem como nas conex\u00f5es fora do t\u00fanel VPN. Portanto, todo o texto abaixo \u00e9 uma carta real que enviamos a um dos clientes em resposta \u00e0 sua pergunta. Claro, alteramos os endere\u00e7os IP para n\u00e3o desanonimizar o cliente. Mas, sim, o suporte t\u00e9cnico da Tucha realmente \u00e9 conhecido por suas respostas detalhadas e cartas informativas. \ud83d\ude42<\/p>\n

Claro, entendemos que para muitos este artigo n\u00e3o ser\u00e1 uma revela\u00e7\u00e3o. Mas, como de vez em quando surgem artigos para administradores iniciantes no Habr, e dado que este artigo surgiu de uma carta real para um cliente real, ainda assim decidimos compartilhar essas informa\u00e7\u00f5es aqui. H\u00e1 uma grande probabilidade de que algu\u00e9m as considere \u00fateis.
\nPortanto, explicamos detalhadamente o que acontece entre o servidor na nuvem e o escrit\u00f3rio, se eles est\u00e3o conectados por uma rede site-to-site. Vale ressaltar que, nesse caso, parte dos servi\u00e7os est\u00e1 acess\u00edvel apenas do escrit\u00f3rio, enquanto parte pode ser acessada de qualquer lugar da Internet.<\/p>\n

Pela primeira vez, explicamos que nosso cliente desejou que no servidor 192.168.A.1<\/b> fosse poss\u00edvel conex\u00e3o de qualquer lugar via RDP, conectando-se a A.A.A.2:13389<\/b>, enquanto os demais servi\u00e7os s\u00f3 estivessem dispon\u00edveis do escrit\u00f3rio (192.168.B.0\/24)<\/b>, conectado atrav\u00e9s de VPN<\/a>. O cliente tamb\u00e9m havia configurado, desde o in\u00edcio, que a m\u00e1quina 192.168.B.2 <\/b>no escrit\u00f3rio pudesse ser acessada via RDP de qualquer lugar, conectando-se a B.B.B.1:11111<\/b>. Ajudamos a organizar conex\u00f5es IPSec entre a nuvem e o escrit\u00f3rio, e o especialista em TI do cliente come\u00e7ou a fazer perguntas sobre o que ocorreria em cada caso. Para responder a todas essas perguntas, n\u00f3s, na verdade, escrevemos tudo isso que voc\u00ea pode ler abaixo.
\n<\/a><\/noindex>
\n\"O<\/p>\n

Agora vamos examinar esses processos com mais detalhes.<\/p>\n

<\/p>\n

Primeira posi\u00e7\u00e3o<\/h3>\n

\nQuando algo \u00e9 enviado de 192.168.B.0\/24<\/b> em 192.168.A.0\/24<\/b> ou de 192.168.A.0\/24<\/b> em 192.168.B.0\/24<\/b>, ele entra no VPN. Ou seja, esse pacote \u00e9 criptografado adicionalmente e enviado entre B.B.B.1<\/b> e A.A.A.1<\/b>, mas 192.168.A.1<\/b> v\u00ea o pacote exatamente de 192.168.B.1<\/b>. Eles podem se comunicar entre si usando qualquer protocolo. As respostas de volta tamb\u00e9m s\u00e3o transmitidas pelo VPN, ou seja, o pacote de 192.168.A.1<\/b> para 192.168.B.1<\/b> ser\u00e1 enviado como um datagrama ESP de A.A.A.1<\/b> para B.B.B.1<\/b>, que na outra extremidade do roteador ser\u00e1 descompactado, extrair\u00e1 o pacote e o enviar\u00e1 para 192.168.B.1<\/b> como pacote de 192.168.A.1<\/b>.<\/p>\n

Um exemplo concreto:<\/p>\n

1) 192.168.B.1<\/b> acessa o 192.168.A.1<\/b>, deseja estabelecer uma conex\u00e3o TCP com 192.168.A.1:3389<\/b>;<\/p>\n

2) 192.168.B.1<\/b> envia um pedido para estabelecer uma conex\u00e3o de 192.168.B.1:55555<\/b> (o n\u00famero da porta para o feedback \u00e9 escolhido por ele mesmo, aqui e em diante usaremos o n\u00famero 55555 como exemplo de um n\u00famero de porta que o sistema escolhe ao formar a conex\u00e3o TCP) para 192.168.A.1:3389<\/b>;<\/p>\n

3) o sistema operacional que est\u00e1 rodando no computador com o endere\u00e7o 192.168.B.1<\/b>, decide enviar este pacote para o endere\u00e7o do gateway do roteador (192.168.B.254<\/b> neste caso), porque ele n\u00e3o tem outras rotas mais espec\u00edficas para 192.168.A.1<\/b>, portanto, envia o pacote pela rota padr\u00e3o (0.0.0.0\/0);<\/p>\n

4) para isso, ele tenta encontrar o endere\u00e7o MAC para o endere\u00e7o IP 192.168.B.254 <\/b>na tabela de cache do protocolo ARP. Se n\u00e3o for encontrado, envia do endere\u00e7o 192.168.B.1<\/b> um pedido de who-has de broadcast para a rede 192.168.B.0\/24<\/b>. Quando 192.168.B.254<\/b> responde enviando seu endere\u00e7o MAC, o sistema envia um pacote Ethernet para ele e registra essa informa\u00e7\u00e3o na sua tabela de cache;<\/p>\n

5) o roteador recebe este pacote e decide para onde envi\u00e1-lo: ele tem uma pol\u00edtica que determina que todos os pacotes entre 192.168.B.0\/24<\/b> e 192.168.A.0\/24<\/b> devem ser enviados por uma conex\u00e3o VPN entre B.B.B.1<\/b> e A.A.A.1<\/b>;<\/p>\n

6) o roteador forma um datagrama ESP de B.B.B.1<\/b> para A.A.A.1<\/b>;<\/p>\n

7) o roteador decide a quem enviar este pacote, ele o envia para, digamos, B.B.B.254<\/b> (o gateway do provedor de internet), porque n\u00e3o tem rotas mais espec\u00edficas para A.A.A.1<\/b>, do que 0.0.0.0\/0;<\/p>\n

8) da mesma forma, como j\u00e1 foi mencionado, ele encontra o endere\u00e7o MAC para B.B.B.254<\/b> e envia o pacote para o gateway do provedor de internet;<\/p>\n

9) os provedores de internet enviam atrav\u00e9s de suas redes o datagrama ESP de B.B.B.1<\/b> para A.A.A.1<\/b>;<\/p>\n

10) o roteador virtual em A.A.A.1<\/b> recebe este datagrama, o descriptografa e obt\u00e9m o pacote de 192.168.B.1:55555<\/b> para 192.168.A.1:3389<\/b>;<\/p>\n

11) o roteador virtual verifica para quem envi\u00e1-lo, encontra na tabela de roteamento a rede 192.168.A.0\/24<\/b> e o envia diretamente para 192.168.A.1<\/b>, pois tem um interface 192.168.A.254\/24<\/b>;<\/p>\n

12) para isso, o roteador virtual encontra o endere\u00e7o MAC para 192.168.A.1<\/b> e envia-lhe este pacote atrav\u00e9s da rede Ethernet virtual;<\/p>\n

13) 192.168.A.1<\/b> recebe este pacote na porta 3389, concorda em estabelecer a conex\u00e3o e forma um pacote de resposta de 192.168.A.1:3389<\/b> para 192.168.B.1:55555<\/b>;<\/p>\n

14) seu sistema envia este pacote para o endere\u00e7o do gateway do roteador virtual (192.168.A.254<\/b> neste caso), porque ele n\u00e3o tem outras rotas mais espec\u00edficas para 192.168.B.1<\/b>, ele n\u00e3o tem, portanto, deve enviar o pacote pela rota padr\u00e3o (0.0.0.0\/0);<\/p>\n

15) assim como nos casos anteriores, o sistema que opera em um servidor com o endere\u00e7o 192.168.A.1<\/b>, encontra o endere\u00e7o MAC 192.168.A.254<\/b>, uma vez que est\u00e1 na mesma rede que sua interface 192.168.A.1\/24<\/b>;<\/p>\n

16) o roteador virtual recebe este pacote e decide para onde envi\u00e1-lo: ele tem uma pol\u00edtica definida, segundo a qual deve encaminhar todos os pacotes entre 192.168.A.0\/24<\/b> e 192.168.B.0\/24<\/b> devem ser enviados por uma conex\u00e3o VPN entre A.A.A.1<\/b> e B.B.B.1<\/b>;<\/p>\n

17) o roteador virtual forma um datagrama ESP de A.A.A.1<\/b> para B.B.B.1<\/b>;<\/p>\n

18) o roteador virtual decide para quem enviar este pacote e o envia para A.A.A.254<\/b> (gateway do provedor de internet, neste caso, tamb\u00e9m somos n\u00f3s), pois n\u00e3o h\u00e1 rotas mais espec\u00edficas para B.B.B.1<\/b>, do que 0.0.0.0\/0;<\/p>\n

19) os provedores de internet transmitem pelo suas redes o datagrama ESP de A.A.A.1<\/b> para B.B.B.1<\/b>;<\/p>\n

20) o roteador em B.B.B.1 <\/b>recebe este datagrama, o descriptografa e obt\u00e9m o pacote de 192.168.A.1:3389<\/b> para 192.168.B.1:55555<\/b>;<\/p>\n

21) ele entende que deve ser enviado especificamente para 192.168.B.1<\/b>, uma vez que est\u00e1 na mesma rede, portanto, h\u00e1 uma entrada correspondente em sua tabela de roteamento que o obriga a enviar pacotes para toda 192.168.B.0\/24<\/b> diretamente;<\/p>\n

22) o roteador encontra o endere\u00e7o MAC para 192.168.B.1<\/b> e lhe envia este pacote;<\/p>\n

23) o sistema operacional no computador com o endere\u00e7o 192.168.B.1<\/b> recebe o pacote de 192.168.A.1:3389<\/b> para 192.168.B.1:55555<\/b> e inicia os pr\u00f3ximos passos para estabelecer a conex\u00e3o TCP.<\/p>\n

Neste exemplo, de maneira bastante concisa e simplificada (e aqui poderia ser lembrado um monte de detalhes), \u00e9 descrito o que acontece nos n\u00edveis 2-4. Os n\u00edveis 1, 5-7 n\u00e3o foram abordados.<\/p>\n

Posi\u00e7\u00e3o dois<\/h3>\n

\nSe de 192.168.B.0\/24<\/b> algo \u00e9 enviado especificamente para A.A.A.2<\/b>, ele vai n\u00e3o por VPN, mas diretamente. Ou seja, se um usu\u00e1rio com o endere\u00e7o 192.168.B.1<\/b> acessa o A.A.A.2:13389<\/b>, este pacote \u00e9 encaminhado do endere\u00e7o B.B.B.1<\/b>, passa por A.A.A.2<\/b>, e l\u00e1 o roteador o recebe e o envia para 192.168.A.1<\/b>. 192.168.A.1<\/b> n\u00e3o sabe nada sobre 192.168.B.1<\/b>, ele v\u00ea o pacote de B.B.B.1<\/b>, uma vez que foi encaminhado. Portanto, a resposta a esta solicita\u00e7\u00e3o vai pelo caminho comum, sendo tamb\u00e9m endere\u00e7ado do endere\u00e7o A.A.A.2 <\/b>e vai para B.B.B.1<\/b>, e aquele roteador entrega esta resposta para 192.168.B.1<\/b>, que v\u00ea a resposta de A.A.A.2<\/b>, para o qual ele se dirigiu.<\/p>\n

Um exemplo concreto:<\/p>\n

1) 192.168.B.1<\/b> acessa o A.A.A.2<\/b>, deseja estabelecer uma conex\u00e3o TCP com A.A.A.2:13389<\/b>;<\/p>\n

2) 192.168.B.1<\/b> envia um pedido para estabelecer uma conex\u00e3o de 192.168.B.1:55555<\/b> (este n\u00famero, assim como no exemplo anterior, pode ser diferente) para A.A.A.2:13389<\/b>;<\/p>\n

3) o sistema operacional que est\u00e1 rodando no computador com o endere\u00e7o 192.168.B.1<\/b>, decide enviar este pacote para o endere\u00e7o do gateway do roteador (192.168.B.254<\/b> neste caso), porque ele n\u00e3o tem outras rotas mais espec\u00edficas para A.A.A.2<\/b>, ela n\u00e3o o possui, e portanto, ela encaminha o pacote pela rota padr\u00e3o (0.0.0.0\/0);<\/p>\n

4) para isso, como mencionamos no exemplo anterior, ela tenta encontrar o endere\u00e7o MAC para o endere\u00e7o IP 192.168.B.254<\/b> na tabela de cache do protocolo ARP. Se n\u00e3o for encontrado, envia do endere\u00e7o 192.168.B.1<\/b> um pedido de who-has de broadcast para a rede 192.168.B.0\/24<\/b>. Quando 192.168.B.254<\/b> responde enviando seu endere\u00e7o MAC, o sistema envia um pacote Ethernet para ele e registra essa informa\u00e7\u00e3o na sua tabela de cache;<\/p>\n

5) o roteador recebe este pacote e decide para onde envi\u00e1-lo: ele tem uma pol\u00edtica definida, segundo a qual deve encaminhar (substituindo o endere\u00e7o de origem) todos os pacotes de 192.168.B.0\/24<\/b> para outros n\u00f3s da rede Internet;<\/p>\n

6) uma vez que esta pol\u00edtica implica que o endere\u00e7o de retorno deve coincidir com o endere\u00e7o menor na interface pela qual o pacote ser\u00e1 enviado, o roteador primeiro determina para quem exatamente deve enviar este pacote, e ele, como no exemplo anterior, deve envi\u00e1-lo para B.B.B.254<\/b> (o gateway do provedor de internet), porque n\u00e3o tem rotas mais espec\u00edficas para A.A.A.2<\/b>, do que 0.0.0.0\/0;<\/p>\n

7) portanto, o roteador substitui o endere\u00e7o de retorno do pacote, de agora em diante, o pacote de B.B.B.1:44444<\/b> (o n\u00famero da porta, claro, pode ser diferente) para A.A.A.2:13389<\/b>;<\/p>\n

8) o roteador lembra o que fez, ent\u00e3o, quando uma resposta de A.A.A.2:13389<\/b> para B.B.B.1:44444<\/b> chegar, ele saber\u00e1 que deve alterar o endere\u00e7o e a porta do destinat\u00e1rio para 192.168.B.1:55555<\/b>.<\/p>\n

9) agora o roteador deve enviar isso para a rede do provedor de internet atrav\u00e9s de B.B.B.254<\/b>, portanto, exatamente como j\u00e1 mencionamos, ele encontra o endere\u00e7o MAC para B.B.B.254 <\/b>e envia o pacote para o gateway do provedor de internet;<\/p>\n

10) os provedores de internet transmitem o pacote de suas redes de B.B.B.1<\/b> para A.A.A.2<\/b>;<\/p>\n

11) o roteador virtual em A.A.A.2<\/b> recebe este pacote na porta 13389;<\/p>\n

12) no roteador virtual, h\u00e1 uma regra que estipula que pacotes recebidos de qualquer remetente nessa porta devem ser enviados para 192.168.A.1:3389<\/b>;<\/p>\n

13) o roteador virtual encontra na tabela de roteamento a rede 192.168.A.0\/24<\/b> e envia diretamente para 192.168.A.<\/b>1, pois possui uma interface 192.168.A.254\/24<\/b>;<\/p>\n

14) para isso, o roteador virtual encontra o endere\u00e7o MAC para 192.168.A.1<\/b> e envia-lhe este pacote atrav\u00e9s da rede Ethernet virtual;<\/p>\n

15) 192.168.A.1<\/b> recebe este pacote na porta 3389, concorda em estabelecer a conex\u00e3o e forma um pacote de resposta de 192.168.A.1:3389<\/b> para B.B.B.1:44444<\/b>;<\/p>\n

16) seu sistema envia este pacote para o endere\u00e7o do gateway do roteador virtual (192.168.A.254<\/b> neste caso), porque ele n\u00e3o tem outras rotas mais espec\u00edficas para B.B.B.1<\/b>, ele n\u00e3o tem, portanto, deve enviar o pacote pela rota padr\u00e3o (0.0.0.0\/0);<\/p>\n

17) assim como nos casos anteriores, o sistema que est\u00e1 rodando em um servidor com o endere\u00e7o 192.168.A.1<\/b>, encontra o endere\u00e7o MAC 192.168.A.254<\/b>, uma vez que est\u00e1 na mesma rede que sua interface 192.168.A.1\/24<\/b>;<\/p>\n

18) o roteador virtual recebe este pacote. Vale lembrar que ele se recorda de que recebeu de A.A.A.2:13389<\/b> um pacote de B.B.B.1:44444<\/b> e alterou seu endere\u00e7o e porta do destinat\u00e1rio para 192.168.A.1:3389<\/b>, portanto, para o pacote de 192.168.A.1:3389 <\/b>para B.B.B.1:44444<\/b> ele altera o endere\u00e7o do remetente para A.A.A.2:13389<\/b>;<\/p>\n

19) o roteador virtual decide para quem enviar este pacote, ele o envia para A.A.A.254<\/b> (gateway do provedor de internet, neste caso, tamb\u00e9m somos n\u00f3s), pois n\u00e3o h\u00e1 rotas mais espec\u00edficas para B.B.B.1<\/b>, do que 0.0.0.0\/0;<\/p>\n

20) os provedores de internet transmitem o pacote em suas redes com A.A.A.2<\/b> para B.B.B.1<\/b>;<\/p>\n

21) o roteador em B.B.B.1<\/b> recebe este pacote e se lembra de que, quando ele enviou o pacote de 192.168.B.1:55555<\/b> para A.A.A.2:13389<\/b>, ele alterou seu endere\u00e7o e porta do remetente para B.B.B.1:44444<\/b>, portanto, essa \u00e9 uma resposta que precisa ser enviada para 192.168.B.1:55555<\/b> (na verdade, existem mais algumas verifica\u00e7\u00f5es, mas n\u00e3o vamos entrar nos detalhes);<\/p>\n

22) ele entende que deve envi\u00e1-lo diretamente para 192.168.B.1<\/b>, uma vez que est\u00e1 na mesma rede, portanto, ele tem na tabela de roteamento um registro correspondente que for\u00e7a o envio de pacotes para toda a 192.168.B.0\/24 <\/b>diretamente;<\/p>\n

23) o roteador encontra o endere\u00e7o MAC para 192.168.B.1<\/b> e lhe envia este pacote;<\/p>\n

24) o sistema operacional no computador com o endere\u00e7o 192.168.B.1<\/b> recebe o pacote de A.A.A.2:13389<\/b> para 192.168.B.1:55555<\/b> e inicia os pr\u00f3ximos passos para estabelecer a conex\u00e3o TCP.<\/p>\n

\u00c9 importante notar que, neste caso, o computador com o endere\u00e7o 192.168.B.1<\/b> n\u00e3o sabe nada sobre o servidor com o endere\u00e7o 192.168.A.1<\/b>, ele se comunica apenas com A.A.A.2<\/b>. Da mesma forma, o servidor com o endere\u00e7o 192.168.A.1<\/b> n\u00e3o sabe nada sobre o computador com o endere\u00e7o 192.168.B.1<\/b>. Ele acredita que est\u00e1 sendo acessado a partir do endere\u00e7o B.B.B.1<\/b>, e mais nada, por assim dizer, ele sabe.<\/p>\n

Tamb\u00e9m \u00e9 importante notar que, se esse computador fizer uma solicita\u00e7\u00e3o para A.A.A.2:1540<\/b>, a conex\u00e3o n\u00e3o ser\u00e1 estabelecida, porque o redirecionamento de conex\u00f5es na porta 1540 n\u00e3o est\u00e1 configurado no roteador virtual, mesmo que em algum servidor na rede virtual 192.168.A.0\/24<\/b> (por exemplo, no servidor com o endere\u00e7o 192.168.A.1<\/b>) existam servi\u00e7os que aguardam uma conex\u00e3o nessa porta. Se o usu\u00e1rio do computador com o endere\u00e7o 192.168.B.1<\/b> necessitar urgentemente estabelecer uma conex\u00e3o com esse servi\u00e7o, ele deve usar uma VPN, ou seja, conectar-se diretamente a 192.168.A.1:1540<\/b>.<\/p>\n

\u00c9 importante enfatizar que qualquer tentativa de estabelecer uma conex\u00e3o com A.A.A.1<\/b> (exceto para a conex\u00e3o IPSec do lado de B.B.B.1<\/b> n\u00e3o ser\u00e1 bem-sucedida. Qualquer tentativa de estabelecer conex\u00f5es com A.A.A.2<\/b>, exceto conex\u00f5es na porta 13389, tamb\u00e9m n\u00e3o ter\u00e1 \u00eaxito.
\nAl\u00e9m disso, se algu\u00e9m de A.A.A.2 <\/b>se conectar, como por exemplo, C.C.C.C, tudo o que est\u00e1 descrito nos itens 10-20 tamb\u00e9m se aplicar\u00e1 a ele. O que acontece antes e depois disso depende do que realmente est\u00e1 por tr\u00e1s desse C.C.C.C. N\u00e3o temos essa informa\u00e7\u00e3o, por isso aconselhamos a consulta com os administradores do n\u00f3 com o endere\u00e7o C.C.C.C.<\/p>\n

Terceira posi\u00e7\u00e3o<\/h3>\n

\nE, inversamente, se algo \u00e9 enviado para alguma porta que est\u00e1 configurada para redirecionamento interno para B.B.B.1 (por exemplo, 11111), isso tamb\u00e9m n\u00e3o entra na VPN, mas simplesmente \u00e9 redirecionado de 192.168.A.1 <\/b>e vai para A.A.A.1<\/b> , e aquele j\u00e1 o encaminha para algum lugar em, digamos, B.B.B.1<\/b>192.168.B.2:3389 . Aquele v\u00ea esse pacote n\u00e3o de<\/b>, mas de 192.168.A.1<\/b>. E, quando A.A.A.1<\/b>responde, o pacote vai de 192.168.B.2<\/b> A.A.A.1, B.B.B.1<\/b> para e mais tarde chega ao iniciador da conex\u00e3o \u2014<\/b> 192.168.A.1:55555 192.168.A.1<\/b>.<\/p>\n

Um exemplo concreto:<\/p>\n

1) 192.168.A.1<\/b> acessa o B.B.B.1<\/b>, deseja estabelecer uma conex\u00e3o TCP com B.B.B.1:11111<\/b>;<\/p>\n

2) 192.168.A.1<\/b> envia um pedido para estabelecer uma conex\u00e3o de 3) o sistema operacional que est\u00e1 funcionando no servidor com o endere\u00e7o<\/b> (este n\u00famero, assim como no exemplo anterior, pode ser diferente) para B.B.B.1:11111<\/b>;<\/p>\n

4) para isso, como mencionamos nos exemplos anteriores, tenta encontrar o endere\u00e7o MAC para o endere\u00e7o IP 192.168.A.1<\/b>, decide enviar este pacote para o endere\u00e7o do gateway do roteador (192.168.A.254<\/b> neste caso), porque ele n\u00e3o tem outras rotas mais espec\u00edficas para B.B.B.1<\/b>, portanto, envia o pacote pela rota padr\u00e3o (0.0.0.0\/0);<\/p>\n

em resposta, ele envia seu endere\u00e7o MAC, o sistema envia um pacote Ethernet para ele e registra essa informa\u00e7\u00e3o em sua tabela de cache; 192.168.A.254<\/b> na tabela de cache do protocolo ARP. Se n\u00e3o for encontrado, envia do endere\u00e7o 192.168.A.1<\/b> um pedido de who-has de broadcast para a rede 192.168.A.0\/24<\/b>. Quando 192.168.A.254<\/b> em resposta, envia seu endere\u00e7o MAC, o sistema envia o pacote Ethernet para ele e armazena essa informa\u00e7\u00e3o em sua tabela de cache;<\/p>\n

5) O roteador virtual recebe este pacote e decide para onde envi\u00e1-lo: h\u00e1 uma pol\u00edtica estabelecida que determina que ele deve mascarar (substituindo o endere\u00e7o de origem) todos os pacotes de 192.168.A.0\/24<\/b> para outros n\u00f3s da rede Internet;<\/p>\n

6) Como essa pol\u00edtica indica que o endere\u00e7o de origem deve corresponder ao endere\u00e7o mais baixo na interface, atrav\u00e9s da qual este pacote ser\u00e1 enviado, o roteador virtual primeiro decide para quem realmente enviar este pacote, e ele, como no exemplo anterior, deve envi\u00e1-lo para A.A.A.254<\/b> (gateway do provedor de internet, neste caso, tamb\u00e9m somos n\u00f3s), pois n\u00e3o h\u00e1 rotas mais espec\u00edficas para B.B.B.1<\/b>, do que 0.0.0.0\/0;<\/p>\n

7) Portanto, o roteador virtual substitui o endere\u00e7o de origem do pacote, a partir de agora, este \u00e9 um pacote de A.A.A.1:44444<\/b> (o n\u00famero da porta, claro, pode ser diferente) para B.B.B.1:11111<\/b>;<\/p>\n

8) O roteador virtual lembra-se do que fez, portanto, quando de B.B.B.1:11111<\/b> para A.A.A.1:44444<\/b> chegar, ele saber\u00e1 que deve alterar o endere\u00e7o e a porta do destinat\u00e1rio para 3) o sistema operacional que est\u00e1 funcionando no servidor com o endere\u00e7o<\/b>.<\/p>\n

9) Agora o roteador virtual deve transmiti-lo para a rede do provedor de internet atrav\u00e9s de A.A.A.254<\/b>, portanto, assim como mencionamos anteriormente, ele encontra o endere\u00e7o MAC para A.A.A.254 <\/b>e envia o pacote para o gateway do provedor de internet;<\/p>\n

10) os provedores de internet transmitem o pacote de suas redes de A.A.A.1 no B.B.B.1<\/b>;<\/p>\n

11) O roteador em B.B.B.1<\/b> recebe este pacote na porta 11111;<\/p>\n

12) No roteador virtual, existe uma regra que prev\u00ea que pacotes recebidos de qualquer remetente nessa porta devem ser encaminhados para . Aquele v\u00ea esse pacote n\u00e3o de<\/b>;<\/p>\n

13) O roteador encontra na tabela de roteamento a rede 192.168.B.0\/24<\/b> e o envia diretamente para 192.168.B.2<\/b>, pois tem um interface 192.168.B.254\/24<\/b>;<\/p>\n

14) para isso, o roteador virtual encontra o endere\u00e7o MAC para 192.168.B.2<\/b> e envia-lhe este pacote atrav\u00e9s da rede Ethernet virtual;<\/p>\n

15) 192.168.B.2<\/b> recebe este pacote na porta 3389, concorda em estabelecer a conex\u00e3o e forma um pacote de resposta de . Aquele v\u00ea esse pacote n\u00e3o de<\/b> para A.A.A.1:44444<\/b>;<\/p>\n

16) Seu sistema envia este pacote para o endere\u00e7o do gateway do roteador (192.168.B.254<\/b> neste caso), porque ele n\u00e3o tem outras rotas mais espec\u00edficas para A.A.A.1<\/b>, ele n\u00e3o tem, portanto, deve enviar o pacote pela rota padr\u00e3o (0.0.0.0\/0);<\/p>\n

17) Assim como nos casos anteriores, o sistema que opera em um computador com o endere\u00e7o 192.168.B.2<\/b>, encontra o endere\u00e7o MAC 192.168.B.254<\/b>, uma vez que est\u00e1 na mesma rede que sua interface 192.168.B.2\/24<\/b>;<\/p>\n

18) O roteador aceita este pacote. Vale destacar que ele lembra que recebeu em B.B.B.1:11111<\/b> um pacote de A.A.A.1 <\/b>e alterou seu endere\u00e7o e porta do destinat\u00e1rio para . Aquele v\u00ea esse pacote n\u00e3o de<\/b>, portanto, para o pacote de . Aquele v\u00ea esse pacote n\u00e3o de<\/b> para A.A.A.1:44444<\/b> ele altera o endere\u00e7o do remetente para B.B.B.1:11111<\/b>;<\/p>\n

19) O roteador decide para quem enviar este pacote. Ele o envia para, digamos, B.B.B.254 <\/b>(gateway do provedor de internet, cujo endere\u00e7o exato n\u00e3o conhecemos), porque n\u00e3o h\u00e1 rotas mais espec\u00edficas para A.A.A.1<\/b>, do que 0.0.0.0\/0;<\/p>\n

20) os provedores de internet transmitem o pacote em suas redes com B.B.B.1<\/b> para A.A.A.1<\/b>;<\/p>\n

21) O roteador virtual em A.A.A.1 <\/b>recebe este pacote e se lembra de que, quando ele enviou o pacote de 3) o sistema operacional que est\u00e1 funcionando no servidor com o endere\u00e7o<\/b> para B.B.B.1:11111<\/b>, ele alterou seu endere\u00e7o e porta do remetente para A.A.A.1:44444<\/b>. Portanto, esta \u00e9 a resposta que deve ser enviada para 3) o sistema operacional que est\u00e1 funcionando no servidor com o endere\u00e7o<\/b> (na verdade, como mencionamos no exemplo anterior, existem tamb\u00e9m algumas verifica\u00e7\u00f5es, mas desta vez n\u00e3o vamos nos aprofundar nessas);<\/p>\n

22) Ele entende que deve ser enviado diretamente para 192.168.A.1<\/b>, uma vez que est\u00e1 na mesma rede, portanto, ele possui uma entrada correspondente na tabela de roteamento que o leva a enviar pacotes para todo o 192.168.A.0\/24<\/b> diretamente;<\/p>\n

23) o roteador encontra o endere\u00e7o MAC para 192.168.A.1<\/b> e lhe envia este pacote;<\/p>\n

24) O sistema operacional no servidor com o endere\u00e7o 192.168.A.1<\/b> recebe o pacote de B.B.B.1:1111<\/b>1 para 3) o sistema operacional que est\u00e1 funcionando no servidor com o endere\u00e7o <\/b>e inicia os pr\u00f3ximos passos para estabelecer a conex\u00e3o TCP.<\/p>\n

Assim como no caso anterior, neste caso o servidor com o endere\u00e7o 192.168.A.1<\/b> n\u00e3o sabe nada sobre o computador com o endere\u00e7o 192.168.B.1<\/b>, ele se comunica apenas com B.B.B.1<\/b>. O computador com o endere\u00e7o 192.168.B.1<\/b> tamb\u00e9m n\u00e3o sabe nada sobre o servidor com o endere\u00e7o 192.168.A.1<\/b>. Ele acredita que est\u00e1 sendo acessado a partir do endere\u00e7o A.A.A.1<\/b>, e o restante est\u00e1 oculto.<\/p>\n

Sa\u00edda<\/h3>\n

\n\u00c9 assim que tudo acontece nas conex\u00f5es dentro do t\u00fanel VPN entre o escrit\u00f3rio do cliente e o ambiente na nuvem, bem como nas conex\u00f5es fora do t\u00fanel VPN. E se voc\u00ea tiver mais perguntas ou precisar da nossa ajuda com quest\u00f5es na nuvem, entre em contato 24\/7.<\/a><\/noindex>
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0437 \u043f\u0438\u0441\u0435\u043c \u0432 \u0441\u043b\u0443\u0436\u0431\u0443 \u0442\u0435\u0445\u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Tucha \u0440\u043e\u0436\u0434\u0430\u044e\u0442\u0441\u044f \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0435 \u0441\u0442\u0430\u0442\u044c\u0438. \u0422\u0430\u043a, \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u043a \u043d\u0430\u043c \u043e\u0431\u0440\u0430\u0442\u0438\u043b\u0441\u044f \u043a\u043b\u0438\u0435\u043d\u0442 \u0441 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u043c \u0440\u0430\u0437\u044a\u044f\u0441\u043d\u0438\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f \u043c\u0435\u0436\u0434\u0443 \u043e\u0444\u0438\u0441\u043e\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0438 \u0441\u0440\u0435\u0434\u043e\u0439 \u0432 \u043e\u0431\u043b\u0430\u043a\u0435, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0435 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432\u0435\u0441\u044c \u0442\u0435\u043a\u0441\u0442, \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u0439 \u043d\u0438\u0436\u0435, \u2014 \u044d\u0442\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0435 \u043f\u0438\u0441\u044c\u043c\u043e, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043c\u044b \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b\u0438 \u043e\u0434\u043d\u043e\u043c\u0443 \u0438\u0437 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0432 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":53573,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-53572","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 O que acontece nas conex\u00f5es dentro e fora do t\u00fanel VPN | ProHoster","description":"Das mensagens para o suporte t\u00e9cnico da Tucha surgem verdadeiros artigos.","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0427\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 \u0438 \u0432\u043d\u0435 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f | ProHoster","og:description":"\u0418\u0437 \u043f\u0438\u0441\u0435\u043c \u0432 \u0441\u043b\u0443\u0436\u0431\u0443 \u0442\u0435\u0445\u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Tucha \u0440\u043e\u0436\u0434\u0430\u044e\u0442\u0441\u044f \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0435 \u0441\u0442\u0430\u0442\u044c\u0438.","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-04T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:29+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53572","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-04 15:17:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:22:50","updated":"2026-02-04 15:17:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/53572","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=53572"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/53572\/revisions"}],"predecessor-version":[{"id":156714,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/53572\/revisions\/156714"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/53573"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=53572"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=53572"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=53572"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}