{"id":53572,"date":"2019-12-05T00:00:00","date_gmt":"2019-12-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya"},"modified":"2020-02-18T14:01:29","modified_gmt":"2020-02-18T11:01:29","slug":"chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","title":{"rendered":"Ce se \u00eent\u00e2mpl\u0103 la conexiunile din interiorul \u0219i din afara tunelului VPN","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Din scrisorile c\u0103tre serviciul de suport tehnic Tucha se nasc adev\u0103rate articole. Recent, un client ne-a contactat pentru a solicita explica\u021bii despre ce se \u00eent\u00e2mpl\u0103 \u00een cadrul conexiunilor din interiorul tunelului VPN \u00eentre biroul utilizatorului \u0219i mediu \u00een cloud, precum \u0219i \u00een cazul conexiunilor \u00een afara tunelului VPN. A\u0219adar, \u00eentregul text de mai jos este o scrisoare real\u0103 pe care am trimis-o unui client ca r\u0103spuns la \u00eentrebarea sa. Desigur, am schimbat adresele IP pentru a nu deanonimiza clientul. Dar, da, serviciul de suport tehnic Tucha este cunoscut pentru r\u0103spunsurile sale detaliate \u0219i scrisorile informative. \ud83d\ude42<\/p>\n

Desigur, \u00een\u021belegem c\u0103 pentru mul\u021bi aceasta nu va fi o revela\u021bie. Dar, \u00eentruc\u00e2t pe Habr apar din c\u00e2nd \u00een c\u00e2nd articole pentru administratori \u00eencep\u0103tori \u0219i av\u00e2nd \u00een vedere c\u0103 acest articol a ap\u0103rut dintr-o scrisoare real\u0103 adresat\u0103 unui client real, ne va face pl\u0103cere s\u0103 \u00eemp\u0103rt\u0103\u0219im aceste informa\u021bii \u0219i aici. Exist\u0103 o probabilitate mare ca aceste informa\u021bii s\u0103 fie utile cuiva.
\nDe aceea, explic\u0103m \u00een detaliu ce se \u00eent\u00e2mpl\u0103 \u00eentre serverul din cloud \u0219i birou, dac\u0103 acestea sunt unite printr-o re\u021bea site-to-site. Men\u021bion\u0103m c\u0103, \u00een acest caz, unele servicii sunt disponibile doar din birou, iar altele - din orice loc de pe internet.<\/p>\n

Imediat vom explica c\u0103 clientul nostru a dorit ca pe serverul 192.168.A.1<\/b> s\u0103 se poat\u0103 conecta de oriunde prin RDP, acces\u00e2nd A.A.A.2:13389<\/b>, iar celelalte servicii - doar din birou (192.168.B.0\/24)<\/b>, conectat prin VPN<\/a>. De asemenea, clientul a configurat ini\u021bial a\u0219a \u00eenc\u00e2t pentru ma\u0219ina 192.168.B.2 <\/b>din birou s\u0103 se poat\u0103 conecta de oriunde prin RDP, acces\u00e2nd B.B.B.1:11111<\/b>. Am ajutat la organizarea conexiunilor IPSec \u00eentre cloud \u0219i birou, iar specialistul IT al clientului a \u00eenceput s\u0103 pun\u0103 \u00eentreb\u0103ri despre ce se va \u00eent\u00e2mpla \u00een fiecare caz. Pentru a r\u0103spunde la toate aceste \u00eentreb\u0103ri, am scris, de fapt, tot ceea ce pute\u021bi citi mai jos.
\n<\/a><\/noindex>
\n\"Ce<\/p>\n

Acum, s\u0103 examin\u0103m aceste procese mai \u00een detaliu.<\/p>\n

<\/p>\n

Pozi\u021bia prima<\/h3>\n

\nC\u00e2nd ceva este trimis din 192.168.B.0\/24<\/b> \u00een 192.168.A.0\/24<\/b> sau din 192.168.A.0\/24<\/b> \u00een 192.168.B.0\/24<\/b>, acesta intr\u0103 \u00een VPN. Adic\u0103, acest pachet este suplimentar criptat \u0219i transmis \u00eentre B.B.B.1<\/b> \u0219i A.A.A.1<\/b>, dar 192.168.A.1<\/b> vede pachetul tocmai de la 192.168.B.1<\/b>. Ele pot comunica \u00eentre ele prin orice protocoale. R\u0103spunsurile invers sunt transmise la fel prin VPN, ceea ce \u00eenseamn\u0103 c\u0103 pachetul din 192.168.A.1<\/b> pentru 192.168.B.1<\/b> va fi trimis ca un datagram ESP din A.A.A.1<\/b> pe B.B.B.1<\/b>, pe care routerul de cealalt\u0103 parte o va desf\u0103\u0219ura, va extrage acel pachet \u0219i \u00eel va returna la 192.168.B.1<\/b> ca pachet de la 192.168.A.1<\/b>.<\/p>\n

Un exemplu concret:<\/p>\n

1) 192.168.B.1<\/b> se adreseaz\u0103 192.168.A.1<\/b>, dore\u0219te s\u0103 stabileasc\u0103 o conexiune TCP cu 192.168.A.1:3389<\/b>;<\/p>\n

2) 192.168.B.1<\/b> trimite o solicitare pentru stabilirea conexiunii de la 192.168.B.1:55555<\/b> (num\u0103rul portului pentru feedback este ales de el, aici \u0219i mai departe vom folosi num\u0103rul 55555 ca exemplu de num\u0103r de port pe care sistemul \u00eel alege \u00een formarea conexiunii TCP) la 192.168.A.1:3389<\/b>;<\/p>\n

3) sistemul de operare care func\u021bioneaz\u0103 pe computerul cu adresa 192.168.B.1<\/b>, decide s\u0103 transmit\u0103 acest pachet la adresa gateway a routerului (192.168.B.254<\/b> \u00een cazul nostru), deoarece nu exist\u0103 rute mai specifice pentru 192.168.A.1<\/b>, aceasta trece pachetul pe ruta implicit\u0103 (0.0.0.0\/0);<\/p>\n

4) pentru asta, \u00eencearc\u0103 s\u0103 g\u0103seasc\u0103 adresa MAC pentru adresa IP 192.168.B.254 <\/b>\u00een tabela de cache a protocolului ARP. Dac\u0103 nu este g\u0103sit\u0103, trimite de la 192.168.B.1<\/b> o solicitare broadca\u0441\u0442 who-has re\u021belei 192.168.B.0\/24<\/b>. C\u00e2nd 192.168.B.254<\/b> \u00een r\u0103spuns trimite adresa sa MAC, sistemul trimite pachetul Ethernet pentru ea \u0219i salveaz\u0103 aceast\u0103 informa\u021bie \u00een tabela sa de cache;<\/p>\n

5) routerul prime\u0219te acest pachet \u0219i decide unde s\u0103-l trimit\u0103: are o politic\u0103 conform c\u0103reia trebuie s\u0103 transmit\u0103 toate pachetele \u00eentre 192.168.B.0\/24<\/b> \u0219i 192.168.A.0\/24<\/b> printr-o conexiune VPN \u00eentre B.B.B.1<\/b> \u0219i A.A.A.1<\/b>;<\/p>\n

6) routerul formeaz\u0103 un datagram ESP de la B.B.B.1<\/b> pe A.A.A.1<\/b>;<\/p>\n

7) routerul decide cui s\u0103 transmit\u0103 acest pachet, \u00eel trimite c\u0103tre, s\u0103 zicem, B.B.B.254<\/b> (gateway-ul providerului de internet), deoarece nu are rute mai specifice c\u0103tre A.A.A.1<\/b>, dec\u00e2t 0.0.0.0\/0;<\/p>\n

8) exact la fel cum s-a spus deja, el g\u0103se\u0219te adresa MAC pentru B.B.B.254<\/b> \u0219i transmite pachetul c\u0103tre gateway-ul providerului de internet;<\/p>\n

9) providerii de internet transmit prin re\u021belele lor datagramul ESP de la B.B.B.1<\/b> pe A.A.A.1<\/b>;<\/p>\n

10) routerul virtual de pe A.A.A.1<\/b> prime\u0219te aceast\u0103 datagram\u0103, o decripteaz\u0103 \u0219i ob\u021bine pachetul de la 192.168.B.1:55555<\/b> pentru 192.168.A.1:3389<\/b>;<\/p>\n

11) routerul virtual verific\u0103 cui s\u0103-l transmit\u0103, g\u0103se\u0219te re\u021beaua \u00een tabela de rutare 192.168.A.0\/24<\/b> \u0219i \u00eel trimite direct la 192.168.A.1<\/b>, deoarece are un interfa\u021b\u0103 192.168.A.254\/24<\/b>;<\/p>\n

12) pentru asta routerul virtual g\u0103se\u0219te adresa MAC pentru 192.168.A.1<\/b> \u0219i \u00eei transmite acest pachet prin re\u021beaua Ethernet virtual\u0103;<\/p>\n

13) 192.168.A.1<\/b> prime\u0219te acest pachet pe portul 3389, este de acord s\u0103 stabileasc\u0103 o conexiune \u0219i formeaz\u0103 un pachet \u00een r\u0103spuns de la 192.168.A.1:3389<\/b> pe 192.168.B.1:55555<\/b>;<\/p>\n

14) sistemul s\u0103u trimite acest pachet la adresa gateway a routerului virtual (192.168.A.254<\/b> \u00een cazul nostru), deoarece nu exist\u0103 rute mai specifice pentru 192.168.B.1<\/b>, ea nu are, prin urmare, trebuie s\u0103 transmit\u0103 pachetul pe ruta implicit\u0103 (0.0.0.0\/0);<\/p>\n

15) la fel ca \u00een cazurile anterioare, sistemul care func\u021bioneaz\u0103 pe serverul cu adresa 192.168.A.1<\/b>, g\u0103se\u0219te adresa MAC 192.168.A.254<\/b>, deoarece acesta se afl\u0103 \u00een aceea\u0219i re\u021bea cu interfa\u021ba sa 192.168.A.1\/24<\/b>;<\/p>\n

16) routerul virtual prime\u0219te acest pachet \u0219i decide unde s\u0103-l transmit\u0103: are o politic\u0103 conform c\u0103reia trebuie s\u0103 trimit\u0103 toate pachetele \u00eentre 192.168.A.0\/24<\/b> \u0219i 192.168.B.0\/24<\/b> printr-o conexiune VPN \u00eentre A.A.A.1<\/b> \u0219i B.B.B.1<\/b>;<\/p>\n

17) routerul virtual formeaz\u0103 un datagram ESP de la A.A.A.1<\/b> pentru B.B.B.1<\/b>;<\/p>\n

18) routerul virtual decide cui s\u0103 transmit\u0103 acest pachet, \u00eel trimite c\u0103tre A.A.A.254<\/b> (gateway-ul furnizorului de internet, \u00een acest caz, suntem tot noi), deoarece nu exist\u0103 rute mai specifice c\u0103tre B.B.B.1<\/b>, dec\u00e2t 0.0.0.0\/0;<\/p>\n

19) furnizorii de internet transmit peste re\u021belele lor datagrama ESP cu A.A.A.1<\/b> pe B.B.B.1<\/b>;<\/p>\n

20) routerul pe B.B.B.1 <\/b>prime\u0219te aceast\u0103 datagram\u0103, o decripteaz\u0103 \u0219i ob\u021bine pachetul de la 192.168.A.1:3389<\/b> pentru 192.168.B.1:55555<\/b>;<\/p>\n

21) el \u00een\u021belege c\u0103 trebuie s\u0103 fie transmis exact c\u0103tre 192.168.B.1<\/b>, deoarece acesta se afl\u0103 \u00een aceea\u0219i re\u021bea, prin urmare, are o \u00eenregistrare corespunz\u0103toare \u00een tabela de rutare, care \u00eel determin\u0103 s\u0103 trimit\u0103 pachetele pentru \u00eentreaga 192.168.B.0\/24<\/b> direct;<\/p>\n

22) routerul g\u0103se\u0219te adresa MAC pentru 192.168.B.1<\/b> \u0219i \u00eei transmite acest pachet;<\/p>\n

23) sistemul de operare de pe computerul cu adresa 192.168.B.1<\/b> prime\u0219te pachetul de la 192.168.A.1:3389<\/b> pentru 192.168.B.1:55555<\/b> \u0219i ini\u021biaz\u0103 pa\u0219ii urm\u0103tori pentru stabilirea unei conexiuni TCP.<\/p>\n

\u00cen acest exemplu, a fost descris succint \u0219i simplificat (\u0219i aici se pot aminti multe detalii) ce se \u00eent\u00e2mpl\u0103 la nivelurile 2-4. Nivelurile 1, 5-7 nu sunt discutate.<\/p>\n

Pozi\u021bia a doua<\/h3>\n

\nDac\u0103 cu 192.168.B.0\/24<\/b> se trimite ceva exact c\u0103tre A.A.A.2<\/b>, acesta nu merge \u00een VPN, ci direct. Asta \u00eenseamn\u0103 c\u0103 dac\u0103 utilizatorul cu adresa 192.168.B.1<\/b> se adreseaz\u0103 A.A.A.2:13389<\/b>, acest pachet provine de la adresa B.B.B.1<\/b>, trece pe la A.A.A.2<\/b>, iar acolo routerul \u00eel prime\u0219te \u0219i \u00eel transmite c\u0103tre 192.168.A.1<\/b>. 192.168.A.1<\/b> nu \u0219tie nimic despre 192.168.B.1<\/b>, el vede pachetul de la B.B.B.1<\/b>, deoarece acesta l-a ini\u021biat. Prin urmare, r\u0103spunsul la aceast\u0103 solicitare merge pe ruta general\u0103, el provine tot de la adresa A.A.A.2 <\/b>\u0219i merge c\u0103tre B.B.B.1<\/b>, iar acel router returneaz\u0103 r\u0103spunsul la 192.168.B.1<\/b>, acesta vede r\u0103spunsul de la A.A.A.2<\/b>, c\u0103tre care s-a adresat.<\/p>\n

Un exemplu concret:<\/p>\n

1) 192.168.B.1<\/b> se adreseaz\u0103 A.A.A.2<\/b>, dore\u0219te s\u0103 stabileasc\u0103 o conexiune TCP cu A.A.A.2:13389<\/b>;<\/p>\n

2) 192.168.B.1<\/b> trimite o solicitare pentru stabilirea conexiunii de la 192.168.B.1:55555<\/b> (aceast\u0103 num\u0103r, la fel ca \u00een exemplul anterior, poate fi altul) c\u0103tre A.A.A.2:13389<\/b>;<\/p>\n

3) sistemul de operare care func\u021bioneaz\u0103 pe computerul cu adresa 192.168.B.1<\/b>, decide s\u0103 transmit\u0103 acest pachet la adresa gateway a routerului (192.168.B.254<\/b> \u00een cazul nostru), deoarece nu exist\u0103 rute mai specifice pentru A.A.A.2<\/b>, ea nu are, a\u0219a c\u0103 transmite pachetul pe ruta implicit\u0103 (0.0.0.0\/0);<\/p>\n

4) pentru aceasta, a\u0219a cum am men\u021bionat \u00een exemplul anterior, \u00eencearc\u0103 s\u0103 g\u0103seasc\u0103 adresa MAC pentru adresa IP 192.168.B.254<\/b> \u00een tabela de cache a protocolului ARP. Dac\u0103 nu este g\u0103sit\u0103, trimite de la 192.168.B.1<\/b> o solicitare broadca\u0441\u0442 who-has re\u021belei 192.168.B.0\/24<\/b>. C\u00e2nd 192.168.B.254<\/b> \u00een r\u0103spuns trimite adresa sa MAC, sistemul trimite pachetul Ethernet pentru ea \u0219i salveaz\u0103 aceast\u0103 informa\u021bie \u00een tabela sa de cache;<\/p>\n

5) routerul prime\u0219te acest pachet \u0219i decide unde s\u0103-l transmit\u0103: are o politic\u0103 conform c\u0103reia trebuie s\u0103 trimit\u0103 (\u00eenlocuind adresa de \u00eentoarcere) toate pachetele de la 192.168.B.0\/24<\/b> c\u0103tre alte noduri ale re\u021belei Internet;<\/p>\n

6) deoarece aceast\u0103 politic\u0103 preconizeaz\u0103 c\u0103 adresa de r\u0103spuns trebuie s\u0103 coincid\u0103 cu adresa inferioar\u0103 de pe interfa\u021ba prin care va fi transmis acest pachet, routerul determin\u0103 mai \u00eent\u00e2i cui s\u0103 transmit\u0103 acest pachet, iar el, la fel ca \u00een exemplul anterior, trebuie s\u0103-l trimit\u0103 c\u0103tre B.B.B.254<\/b> (gateway-ul providerului de internet), deoarece nu are rute mai specifice c\u0103tre A.A.A.2<\/b>, dec\u00e2t 0.0.0.0\/0;<\/p>\n

7) prin urmare, routerul \u00eenlocuie\u0219te adresa de r\u0103spuns a pachetului, de acum \u00eenainte pachetul de la B.B.B.1:44444<\/b> (num\u0103rul portului poate fi, desigur, altul) pe A.A.A.2:13389<\/b>;<\/p>\n

8) routerul \u00ee\u0219i aminte\u0219te ce a f\u0103cut, a\u0219a c\u0103 atunci c\u00e2nd de la A.A.A.2:13389<\/b> la B.B.B.1:44444<\/b> va veni un r\u0103spuns, va \u0219ti c\u0103 trebuie s\u0103 schimbe adresa \u0219i portul destinatarului pe 192.168.B.1:55555<\/b>.<\/p>\n

9) acum routerul trebuie s\u0103-l transmit\u0103 providerului de internet prin B.B.B.254<\/b>, prin urmare, exact a\u0219a cum am men\u021bionat anterior, acesta g\u0103se\u0219te adresa MAC pentru B.B.B.254 <\/b>\u0219i transmite pachetul c\u0103tre gateway-ul providerului de internet;<\/p>\n

10) providerii de internet transmit pachetul prin re\u021belele lor de la B.B.B.1<\/b> pe A.A.A.2<\/b>;<\/p>\n

11) routerul virtual pe A.A.A.2<\/b> prime\u0219te acest pachet pe portul 13389;<\/p>\n

12) pe routerul virtual exist\u0103 o regul\u0103 care prevede c\u0103 pachetele primite de la orice expeditor pe acest port trebuie s\u0103 fie transmise c\u0103tre 192.168.A.1:3389<\/b>;<\/p>\n

13) routerul virtual g\u0103se\u0219te \u00een tabela de rutare re\u021beaua 192.168.A.0\/24<\/b> \u0219i \u00eel trimite direct 192.168.A.<\/b>1, deoarece are interfa\u021ba 192.168.A.254\/24<\/b>;<\/p>\n

14) pentru aceasta, routerul virtual g\u0103se\u0219te adresa MAC pentru 192.168.A.1<\/b> \u0219i \u00eei transmite acest pachet prin re\u021beaua Ethernet virtual\u0103;<\/p>\n

15) 192.168.A.1<\/b> prime\u0219te acest pachet pe portul 3389, este de acord s\u0103 stabileasc\u0103 o conexiune \u0219i formeaz\u0103 un pachet \u00een r\u0103spuns de la 192.168.A.1:3389<\/b> pe B.B.B.1:44444<\/b>;<\/p>\n

16) sistemul s\u0103u transmite acest pachet la adresa gateway a routerului virtual (192.168.A.254<\/b> \u00een cazul nostru), deoarece nu exist\u0103 rute mai specifice pentru B.B.B.1<\/b>, ea nu are, prin urmare, trebuie s\u0103 transmit\u0103 pachetul pe ruta implicit\u0103 (0.0.0.0\/0);<\/p>\n

17) la fel ca \u00een cazurile anterioare, sistemul care func\u021bioneaz\u0103 pe serverul cu adresa 192.168.A.1<\/b>, g\u0103se\u0219te adresa MAC 192.168.A.254<\/b>, deoarece acesta se afl\u0103 \u00een aceea\u0219i re\u021bea cu interfa\u021ba sa 192.168.A.1\/24<\/b>;<\/p>\n

18) routerul virtual prime\u0219te acest pachet. Trebuie men\u021bionat c\u0103 \u00ee\u0219i aminte\u0219te c\u0103 a primit pe A.A.A.2:13389<\/b> pachet de la B.B.B.1:44444<\/b> \u0219i a schimbat adresa \u0219i portul destinatarului pe 192.168.A.1:3389<\/b>, prin urmare, pachetului de la 192.168.A.1:3389 <\/b>pentru B.B.B.1:44444<\/b> \u00eei schimb\u0103 adresa expeditorului pe A.A.A.2:13389<\/b>;<\/p>\n

19) routerul virtual decide cui s\u0103 transmit\u0103 acest pachet, \u00eel trimite c\u0103tre A.A.A.254<\/b> (gateway-ul furnizorului de internet, \u00een acest caz, suntem tot noi), deoarece nu exist\u0103 rute mai specifice c\u0103tre B.B.B.1<\/b>, dec\u00e2t 0.0.0.0\/0;<\/p>\n

20) providerii de internet transmit pachetul prin re\u021belele lor cu A.A.A.2<\/b> pe B.B.B.1<\/b>;<\/p>\n

21) routerul de pe B.B.B.1<\/b> prime\u0219te acest pachet \u0219i \u00ee\u0219i aminte\u0219te c\u0103, atunci c\u00e2nd a transmis pachetul de la 192.168.B.1:55555<\/b> pentru A.A.A.2:13389<\/b>, a schimbat adresa \u0219i portul expeditorului pe B.B.B.1:44444<\/b>, deci este un r\u0103spuns care trebuie transmis c\u0103tre 192.168.B.1:55555<\/b> (de fapt, acolo exist\u0103 \u00eenc\u0103 c\u00e2teva verific\u0103ri, dar nu ne ad\u00e2ncim \u00een asta);<\/p>\n

22) \u00ee\u0219i d\u0103 seama c\u0103 trebuie s\u0103-l transmit\u0103 direct c\u0103tre 192.168.B.1<\/b>, deoarece acesta se afl\u0103 \u00een aceea\u0219i re\u021bea cu el, prin urmare, acesta are \u00een tabela de rutare o \u00eenregistrare corespunz\u0103toare care oblig\u0103 la trimiterea pachetelor pentru tot 192.168.B.0\/24 <\/b>direct;<\/p>\n

23) routerul g\u0103se\u0219te adresa MAC pentru 192.168.B.1<\/b> \u0219i \u00eei transmite acest pachet;<\/p>\n

24) sistemul de operare de pe computerul cu adresa 192.168.B.1<\/b> prime\u0219te pachetul de la A.A.A.2:13389<\/b> pentru 192.168.B.1:55555<\/b> \u0219i ini\u021biaz\u0103 pa\u0219ii urm\u0103tori pentru stabilirea unei conexiuni TCP.<\/p>\n

Este important de men\u021bionat c\u0103, \u00een acest caz, computerul cu adresa 192.168.B.1<\/b> nu cunoa\u0219te serverul cu adresa 192.168.A.1<\/b>, acesta comunic\u0103 doar cu A.A.A.2<\/b>. La fel, \u0219i serverul cu adresa 192.168.A.1<\/b> nu cunoa\u0219te computerul cu adresa 192.168.B.1<\/b>. El consider\u0103 c\u0103 s-a conectat de la adresa B.B.B.1<\/b>, iar mai mult nu \u0219tie nimic, a\u0219a-zis.<\/p>\n

De asemenea, este important de men\u021bionat c\u0103, \u00een cazul \u00een care acest computer se adreseaz\u0103 A.A.A.2:1540<\/b>, conexiunea nu va fi stabilit\u0103, deoarece redirec\u021bionarea conexiunilor pe portul 1540 nu este configurat\u0103 pe routerul virtual, chiar dac\u0103 pe unele servere din re\u021beaua virtual\u0103 192.168.A.0\/24<\/b> (de exemplu, pe serverul cu adresa 192.168.A.1<\/b>) exist\u0103 servicii care a\u0219teapt\u0103 conexiuni pe acest port. Dac\u0103 utilizatorului computerului cu adresa 192.168.B.1<\/b> ii este extrem de necesar s\u0103 stabileasc\u0103 o conexiune cu acest serviciu, el trebuie s\u0103 foloseasc\u0103 VPN, adic\u0103 s\u0103 se adreseze direct la 192.168.A.1:1540<\/b>.<\/p>\n

Este important de subliniat c\u0103 orice \u00eencercare de a stabili o conexiune cu A.A.A.1<\/b> (cu excep\u021bia conexiunii IPSec de partea B.B.B.1<\/b> nu va avea succes. Orice \u00eencerc\u0103ri de a stabili conexiuni cu A.A.A.2<\/b>, cu excep\u021bia conexiunilor cu portul 13389, de asemenea nu vor avea succes.
\nDe asemenea, s\u0103 not\u0103m c\u0103, \u00een cazul \u00een care cineva altcineva se adreseaz\u0103 la A.A.A.2 <\/b>tot ce este men\u021bionat \u00een punctele 10-20 se va aplica \u0219i lui. Ce se \u00eent\u00e2mpl\u0103 \u00eenainte \u0219i dup\u0103 depinde de ceea ce se afl\u0103 \u00een spatele acestuia C.C.C.C. Nu avem aceast\u0103 informa\u021bie, a\u0219a c\u0103 recomand\u0103m s\u0103 contacta\u021bi administratorii nodului cu adresa C.C.C.C.<\/p>\n

Pozi\u021bia a treia<\/h3>\n

\n\u0218i, invers, dac\u0103 de la 192.168.A.1 <\/b>se trimite ceva c\u0103tre un port care este configurat pentru a redirec\u021biona \u00een interior c\u0103tre B.B.B.1 (de exemplu, 11111), acesta de asemenea nu ajunge \u00een VPN, ci este pur \u0219i simplu redirec\u021bionat de la A.A.A.1<\/b> \u0219i ajunge \u00een B.B.B.1<\/b>, iar acesta deja \u00eel trimite undeva, s\u0103 zicem, 192.168.B.2:3389<\/b>. Acesta vede acest pachet nu de la 192.168.A.1<\/b>, ci de la A.A.A.1<\/b>. \u0218i, c\u00e2nd 192.168.B.2<\/b> r\u0103spunde, pachetul vine de la B.B.B.1<\/b> pe A.A.A.1,<\/b> iar mai t\u00e2rziu ajunge la ini\u021biatorul conexiunii \u2014 192.168.A.1<\/b>.<\/p>\n

Un exemplu concret:<\/p>\n

1) 192.168.A.1<\/b> se adreseaz\u0103 B.B.B.1<\/b>, dore\u0219te s\u0103 stabileasc\u0103 o conexiune TCP cu B.B.B.1:11111<\/b>;<\/p>\n

2) 192.168.A.1<\/b> trimite o solicitare pentru stabilirea conexiunii de la 192.168.A.1:55555<\/b> (aceast\u0103 num\u0103r, la fel ca \u00een exemplul anterior, poate fi altul) c\u0103tre B.B.B.1:11111<\/b>;<\/p>\n

3) sistemul de operare care func\u021bioneaz\u0103 pe serverul cu adresa 192.168.A.1<\/b>, decide s\u0103 transmit\u0103 acest pachet la adresa gateway a routerului (192.168.A.254<\/b> \u00een cazul nostru), deoarece nu exist\u0103 rute mai specifice pentru B.B.B.1<\/b>, aceasta trece pachetul pe ruta implicit\u0103 (0.0.0.0\/0);<\/p>\n

4) pentru aceasta, a\u0219a cum am men\u021bionat \u00een exemplele anterioare, \u00eencearc\u0103 s\u0103 g\u0103seasc\u0103 adresa MAC pentru IP-ul 192.168.A.254<\/b> \u00een tabela de cache a protocolului ARP. Dac\u0103 nu este g\u0103sit\u0103, trimite de la 192.168.A.1<\/b> o solicitare broadca\u0441\u0442 who-has re\u021belei 192.168.A.0\/24<\/b>. C\u00e2nd 192.168.A.254<\/b> \u00een r\u0103spuns \u00eei trimite adresa sa MAC, sistemul trimite un pachet Ethernet pentru el \u0219i introduce aceste informa\u021bii \u00een tabela sa de cache;<\/p>\n

5) routerul virtual prime\u0219te acest pachet \u0219i decide unde s\u0103-l transmit\u0103: el are o politic\u0103 definit\u0103 conform c\u0103reia trebuie s\u0103 schimbe (\u00eenlocuind adresa de r\u0103spuns) toate pachetele de la 192.168.A.0\/24<\/b> c\u0103tre alte noduri ale re\u021belei Internet;<\/p>\n

6) deoarece aceast\u0103 politic\u0103 presupune c\u0103 adresa de r\u0103spuns trebuie s\u0103 se potriveasc\u0103 cu adresa superioar\u0103 de pe interfa\u021ba prin care va fi transmis acest pachet, routerul virtual decide mai \u00eent\u00e2i cui s\u0103 transmit\u0103 acest pachet, iar acesta, la fel ca \u00een exemplul precedent, trebuie s\u0103-l trimit\u0103 la A.A.A.254<\/b> (gateway-ul furnizorului de internet, \u00een acest caz, suntem tot noi), deoarece nu exist\u0103 rute mai specifice c\u0103tre B.B.B.1<\/b>, dec\u00e2t 0.0.0.0\/0;<\/p>\n

7) a\u0219adar, routerul virtual \u00eenlocuie\u0219te adresa de r\u0103spuns a pachetului, de acum acesta este un pachet de la A.A.A.1:44444<\/b> (num\u0103rul portului poate fi, desigur, altul) pe B.B.B.1:11111<\/b>;<\/p>\n

8) routerul virtual \u00ee\u0219i aminte\u0219te ce a f\u0103cut, prin urmare, c\u00e2nd de la B.B.B.1:11111<\/b> pentru A.A.A.1:44444<\/b> va veni un r\u0103spuns, va \u0219ti c\u0103 trebuie s\u0103 schimbe adresa \u0219i portul destinatarului pe 192.168.A.1:55555<\/b>.<\/p>\n

9) acum routerul virtual trebuie s\u0103-l transmit\u0103 \u00een re\u021beaua furnizorului de internet prin A.A.A.254<\/b>, a\u0219adar, exact a\u0219a cum am men\u021bionat anterior, el caut\u0103 adresa MAC pentru A.A.A.254 <\/b>\u0219i transmite pachetul c\u0103tre gateway-ul providerului de internet;<\/p>\n

10) providerii de internet transmit pachetul prin re\u021belele lor de la A.A.A.1 pe B.B.B.1<\/b>;<\/p>\n

11) routerul pe B.B.B.1<\/b> prime\u0219te acest pachet pe portul 11111;<\/p>\n

12) pe routerul virtual exist\u0103 o regul\u0103 care prevede c\u0103 pachetele care sosesc de la un anumit expeditor pe acest port trebuie transmise pe 192.168.B.2:3389<\/b>;<\/p>\n

13) routerul g\u0103se\u0219te \u00een tabela de rutare re\u021beaua 192.168.B.0\/24<\/b> \u0219i \u00eel trimite direct la 192.168.B.2<\/b>, deoarece are un interfa\u021b\u0103 192.168.B.254\/24<\/b>;<\/p>\n

14) pentru aceasta, routerul virtual g\u0103se\u0219te adresa MAC pentru 192.168.B.2<\/b> \u0219i \u00eei transmite acest pachet prin re\u021beaua Ethernet virtual\u0103;<\/p>\n

15) 192.168.B.2<\/b> prime\u0219te acest pachet pe portul 3389, este de acord s\u0103 stabileasc\u0103 o conexiune \u0219i formeaz\u0103 un pachet \u00een r\u0103spuns de la 192.168.B.2:3389<\/b> pe A.A.A.1:44444<\/b>;<\/p>\n

16) sistemul s\u0103u trimite acest pachet c\u0103tre adresa de gateway a routerului (192.168.B.254<\/b> \u00een cazul nostru), deoarece nu exist\u0103 rute mai specifice pentru A.A.A.1<\/b>, ea nu are, prin urmare, trebuie s\u0103 transmit\u0103 pachetul pe ruta implicit\u0103 (0.0.0.0\/0);<\/p>\n

17) la fel ca \u00een cazurile anterioare, sistemul care func\u021bioneaz\u0103 pe computerul cu adresa 192.168.B.2<\/b>, g\u0103se\u0219te adresa MAC 192.168.B.254<\/b>, deoarece acesta se afl\u0103 \u00een aceea\u0219i re\u021bea cu interfa\u021ba sa 192.168.B.2\/24<\/b>;<\/p>\n

18) routerul prime\u0219te acest pachet. Trebuie men\u021bionat c\u0103 \u00ee\u0219i aminte\u0219te c\u0103 a primit pe B.B.B.1:11111<\/b> pachet de la A.A.A.1 <\/b>\u0219i a schimbat adresa \u0219i portul destinatarului pe 192.168.B.2:3389<\/b>, prin urmare, pachetului de la 192.168.B.2:3389<\/b> pentru A.A.A.1:44444<\/b> \u00eei schimb\u0103 adresa expeditorului pe B.B.B.1:11111<\/b>;<\/p>\n

19) routerul decide cui s\u0103 transmit\u0103 acest pachet. El \u00eel trimite la, s\u0103 spunem, B.B.B.254 <\/b>(gateway-ul furnizorului de internet, ale c\u0103rui adrese exacte nu le cunoa\u0219tem), deoarece nu exist\u0103 rute mai specifice c\u0103tre A.A.A.1<\/b>, dec\u00e2t 0.0.0.0\/0;<\/p>\n

20) providerii de internet transmit pachetul prin re\u021belele lor cu B.B.B.1<\/b> pe A.A.A.1<\/b>;<\/p>\n

21) routerul virtual pe A.A.A.1 <\/b>prime\u0219te acest pachet \u0219i \u00ee\u0219i aminte\u0219te c\u0103, atunci c\u00e2nd a transmis pachetul de la 192.168.A.1:55555<\/b> pentru B.B.B.1:11111<\/b>, a schimbat adresa \u0219i portul expeditorului pe A.A.A.1:44444<\/b>. A\u0219adar, acesta este r\u0103spunsul care trebuie transmis la 192.168.A.1:55555<\/b> (de fapt, a\u0219a cum am men\u021bionat \u00een exemplul anterior, exist\u0103 \u0219i c\u00e2teva alte verific\u0103ri, dar de data aceasta nu ne ad\u00e2ncim \u00een ele);<\/p>\n

22) el \u00een\u021belege c\u0103 trebuie s\u0103 fie transmis direct la 192.168.A.1<\/b>, deoarece acesta este \u00een aceea\u0219i re\u021bea cu el, a\u0219adar, acesta are \u00een tabela sa de rutare o \u00eenregistrare corespunz\u0103toare care \u00eel face s\u0103 trimit\u0103 pachetele pentru \u00eentreaga 192.168.A.0\/24<\/b> direct;<\/p>\n

23) routerul g\u0103se\u0219te adresa MAC pentru 192.168.A.1<\/b> \u0219i \u00eei transmite acest pachet;<\/p>\n

24) sistemul de operare de pe serverul cu adresa 192.168.A.1<\/b> prime\u0219te pachetul de la B.B.B.1:1111<\/b>1 pentru 192.168.A.1:55555 <\/b>\u0219i ini\u021biaz\u0103 pa\u0219ii urm\u0103tori pentru stabilirea unei conexiuni TCP.<\/p>\n

la fel ca \u0219i \u00een cazul precedent, \u00een aceast\u0103 situa\u021bie serverul cu adresa 192.168.A.1<\/b> nu cunoa\u0219te computerul cu adresa 192.168.B.1<\/b>, acesta comunic\u0103 doar cu B.B.B.1<\/b>. Computerul cu adresa 192.168.B.1<\/b> nu \u0219tie nimic despre serverul cu adresa 192.168.A.1<\/b>. El consider\u0103 c\u0103 s-a conectat de la adresa A.A.A.1<\/b>, \u0219i restul este ascuns.<\/p>\n

Ie\u0219ire<\/h3>\n

\nA\u0219a se desf\u0103\u0219oar\u0103 totul \u00een timpul conexiunilor din interiorul tunelului VPN \u00eentre biroul clientului \u0219i mediul din cloud, precum \u0219i \u00een cazul conexiunilor \u00een afara tunelului VPN. Dac\u0103 ave\u021bi \u00eentreb\u0103ri sau ave\u021bi nevoie de ajutorul nostru pentru a rezolva problemele din cloud, nu ezita\u021bi s\u0103 ne contacta\u021bi 24\/7.<\/a><\/noindex>
\n
Sursa: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0437 \u043f\u0438\u0441\u0435\u043c \u0432 \u0441\u043b\u0443\u0436\u0431\u0443 \u0442\u0435\u0445\u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Tucha \u0440\u043e\u0436\u0434\u0430\u044e\u0442\u0441\u044f \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0435 \u0441\u0442\u0430\u0442\u044c\u0438. \u0422\u0430\u043a, \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u043a \u043d\u0430\u043c \u043e\u0431\u0440\u0430\u0442\u0438\u043b\u0441\u044f \u043a\u043b\u0438\u0435\u043d\u0442 \u0441 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u043c \u0440\u0430\u0437\u044a\u044f\u0441\u043d\u0438\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f \u043c\u0435\u0436\u0434\u0443 \u043e\u0444\u0438\u0441\u043e\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0438 \u0441\u0440\u0435\u0434\u043e\u0439 \u0432 \u043e\u0431\u043b\u0430\u043a\u0435, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0435 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432\u0435\u0441\u044c \u0442\u0435\u043a\u0441\u0442, \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u0439 \u043d\u0438\u0436\u0435, \u2014 \u044d\u0442\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0435 \u043f\u0438\u0441\u044c\u043c\u043e, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043c\u044b \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b\u0438 \u043e\u0434\u043d\u043e\u043c\u0443 \u0438\u0437 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0432 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":53573,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-53572","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Ce se \u00eent\u00e2mpl\u0103 \u00een timpul conexiunilor din interiorul \u0219i \u00een afara tunelului VPN | ProHoster","description":"Din mesajele c\u0103tre serviciul de suport tehnic Tucha se nasc articole adev\u0103rate.","canonical_url":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"ro_RO","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0427\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 \u0438 \u0432\u043d\u0435 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u044f | ProHoster","og:description":"\u0418\u0437 \u043f\u0438\u0441\u0435\u043c \u0432 \u0441\u043b\u0443\u0436\u0431\u0443 \u0442\u0435\u0445\u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 Tucha \u0440\u043e\u0436\u0434\u0430\u044e\u0442\u0441\u044f \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0435 \u0441\u0442\u0430\u0442\u044c\u0438.","og:url":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/chto-proishodit-pri-soedineniyah-vnutri-i-vne-vpn-tunnelya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-04T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:29+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53572","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-04 15:17:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:22:50","updated":"2026-02-04 15:17:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/posts\/53572","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/comments?post=53572"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/posts\/53572\/revisions"}],"predecessor-version":[{"id":156714,"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/posts\/53572\/revisions\/156714"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/media\/53573"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/media?parent=53572"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/categories?post=53572"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/tags?post=53572"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}