Aufgerufen aus LAN oder vom WAN?

[blackfin]

Erklärung?

Nach meinem Verständnis müsste doch, tracert man einen internen Rechner an, der erste hop die Firewall / Router sein, bei einem VPN geht es entweder gar nicht, oder der erste Hop ist nicht die Firewall. Wo ist der Denkfehler?