Ty dva stroje na sebe nemusí nutně přímo vidět. Pokud jsou všechny NATy po cestě dostatečně "rozumné" a zachovají číslo UDP portu, tak stačí nastavit jako remote stranu veřejnou adresu posledního NATu protistrany a taky dostatečně malý ping, aby v některém NATu nestihnul vypršet timeout. Obě strany vlastně kopou tunel a potkají se někde uprostřed.