Přístup na další servery přes jednu IP

5.8.2010 20:13 | Všechno možný

Zas přicházím ze špekem ....

Computer připojený k internetu na veřejné IP. Na routeru je proveden překlad na lokální adresu 192.168.1.100.

Nic neobvyklého avšak ....běží tu i VmWare player se dvěma běžícíma systémama (Linuxové) z čehož jeden je na lokální síti dostupný na IP 192.168.1.101 a druhý na 192.168.1.102.

Co z toho ?

Jak zařídit, aby tyto systémy resp jejich služby byly dostupné z lokální sítě na adrese 192.168.1.100 a z internetu (IP adresa od providera je na routeru překládána na onu 192.168.1.100). v podobě 192.168.1.100/server-1/ a 192.168.1.100/server-2/ resp z internetu např 88.88.88.88/server-1 a 88.88.88.88/server-2  atd...

Je tu vůbec možný ? Případně jaké jsou jiné možnosti.

Pokud ano tak jak to zařídit na systému hostitelském (Debian, Ubuntu a případně i windows)

Díky moc

       

Komentáře

[Mrkva]

Nelze. Můžeš buď forwardovat některé porty (tedy třeba 1.1.1.1:80 se přesměruje na lokální 192.168.1.1 a 1.1.1.1:88 se přesměruje na 192.168.1.2). Tohle omezení přes adresu (IPneboDNS/server1 a IPneboDNS/server2) by se muselo řešit přes HTTP proxy - ale bude to fungovat jen a pouze pro HTTP(=web).

[frEon]

ha, byl jsi rychlejsi

[frEon]

protoze ip protokol to nepodporuje? dalo by se to resit pro nektere protokoly (treba zname http, smtp) pomoci nejakeho proxy serveru, ktery by vedel kdo kde na siti je.

[Josef Kufner]

První možnost:

Na routeru si nastav přeposílání portů daných služeb na tvůj hostující počítač. Na tvém hostujícím počítači si nastavíš maškarádu a přeposílání portů podobně jako na routeru.

Druhá možnost:

Router stejně jako předtím. Síťovky hostujícího počítače a virtuálních počítačů nacpeš do bridge a tím připojíš virtuální počítače přímo do LAN (IP adresy nastavíš jako bys připojil do fyzického switche další počítače) a budeš provozovat služby na samostatných IP adresách.

Ten bridge se kdyžtak dá nahradit NATem 1:1 (hostující počítač dostane více IP adres). Virtualbox má na bridge přímo volbu v nastavení síťovky, ale nijak moc jsem s tím nikdy neexperimentoval.

[Josef Kufner]

Aha. Tak jsem si to přečetl i o kousek dál a koukám, že už jsi si vybral druhou možnost. Takže pokračování:

To co chceš je reverzní proxy na routeru (případně to přeposílat skrz jiný počítač v LAN) a místo cesty používat CNAME (Tedy http://server-1.domena.tld místo http://domena.tld/server-1).

DNS si nastavíš tak, že při dotazu z LAN bude server-1.domena.tld vracet přímo lokální IP a při dotazu z internetu tvojí jedinou veřejnou IP adresu. V bindu jsou na to 'view' a podle nějakého tutoriálu to jde celkem lehce nastavit.

[Roman Schulz]

Ano, přesně tak jak píšeš. Reversní proxy a rozlišovat podle host name. Na reverzní proxy je možné použít třeba nginx, lighttpd nebo i apache. Osobně doporučuji nginx

[otasomil]

Zda bude virtualni server jako domena tretiho radu ci jak jsem navrhoval ja je jedno.

>>> případně to přeposílat skrz jiný počítač v LAN

To je jedine reseni pac router providera neni pristupny ke konfiguraci.

Jak to preposilani zaridit u toho hostitelskeho systemu ? Trochu konkretnejc prosim .... diky

[Josef Kufner]

Na routeru na něj klasicky přepošleš vhodný port a konfiguraci reverzní proxy najdeš třeba tu.

[Jendа]

Třetí možnost: sežeň si sakra víc IP adres .

[otasomil]

To by bylo idealni samozrejme a vsechno by fungovalo hned a napoprve bez kdovijak sloziteho obchazeni.

[Jendа]

a budeš provozovat služby na samostatných IP adresách.

Jenže to mu provider asi právě nechce dát, jinak by to tak vyřešil rovnou, ne?

[Jary]

Hehe, IPV6?

[Michal Kubeček]

Taky už jsem uvažoval, že si tuto diskusi dám do bookmarků a budu na ni odkazovat ty, kteří tvrdí, že IPv6 vlastně není vůbec potřeba…

[trekker.dk]

IPv6 není vůbec potřeba a všechno, co autor blogu chce, se dá snadno a ještě navíc bezpečněji vyřešit NATem. Jak je ostatně z diskuze jasně vidět.

[Jary]

Ano, zatím to tak jistě jde...

[xHire]

IPv6 není vůbec potřeba a všechno, co autor blogu chce, se dá snadno a ještě navíc bezpečněji vyřešit NATem. Jak je ostatně z diskuze jasně vidět.

Snadno a bezpečněji NATem? Smím se zeptat, co je na NATu snazšího a bezpečnějšího než IPv6 a dobře nakonfigurovaný firewall? To mi totiž vážně uniká a v diskuzi to vidět není. — IPv6 je na tohle vážně naprosto ideální řešení, především proto, že je jednoduché, transparentní a přímočaré.

P.S.: Proč se proboha tohle opět řeší v blogu a ne v poradně?!

[Jary]

Protože poradnu skoro nikdo nečte, na rozdíl od blogů.

[Jendа]

modprobe ironie

[otasomil]

Pristup na server je vyresen, ale jak pristupovat na systemy jez na nem bezi ve virtualizaci. Nemluvim o ssh to je jednoduchy - prihlasit se na server a z nej na virtualizovane systemy.

Ono vubec nejde o to zda jsou pocitace fyzicke nebo virtualni, ale o pristup na vice pocitacu v lokalni siti avsak pres jednu verejnou IP.

Pripadne to nejak nastavit jako domenu tretiho radu napr server-1.domena.tld,  server-2.domena.tld ..... CNAME ci co a v prvnim pripade by odpovedel pocitac s lokalni IP 192.168.1.101 a v druhem 192.168.1.102. Vse by to muselo byt nejak zarizeno na serveru jez ma IP 192.168.1.100 a je na tuto IP nastaven preklad na routeru.

Zadam-li do prohlizece server-1.domena.tld tak aby server jez posloucha na 192.168.1.100 nejak zaridil preklad na 192.168.1.101. Zadam-li pouze domena.tld tak odpovi server jez ma na loklani siti IP 192.168.1.100. Ve sprave domeny je pouze A zaznam.

[Jendа]

Pripadne to nejak nastavit jako domenu tretiho radu napr server-1.domena.tld, server-2.domena.tld ..... CNAME ci co a v prvnim pripade by odpovedel pocitac s lokalni IP 192.168.1.101 a v druhem 192.168.1.102. Vse by to muselo byt nejak zarizeno na serveru jez ma IP 192.168.1.100 a je na tuto IP nastaven preklad na routeru.

Zadam-li do prohlizece server-1.domena.tld tak aby server jez posloucha na 192.168.1.100 nejak zaridil preklad na 192.168.1.101. Zadam-li pouze domena.tld tak odpovi server jez ma na loklani siti IP 192.168.1.100. Ve sprave domeny je pouze A zaznam.

Ano, tomu se říká proxy a funguje to jenom pro konkrétní protokoly.

Nevím, co tam máš za server, ale pro HTTP by v lighttpd by čistě teoreticky (nezkoušeno) mohlo fungovat toto:

$HTTP["host"] == "server-1.domena.tld" {
  proxy.server = (
    "" => (
      "host" => (
        "host" => "192.168.1.101",
        "port" => 80
      )
    )
  )
}

Och, oč jednodušší by to bylo, kdyby ti tvůj provider automaticky přidělil 18 446 744 073 709 551 616 IP adres.

…a pak si zase někde přečteme, jak veřejné IP vůbec nejsou potřeba .

[otasomil]

Hmm diky moc za konfiguraci do lighttpd.conf

Vyzkousim

 

Jasny ze by bylo nejlepsi IPv6, ale ruku na srdce kolik provideru a poskytovatelu weboveho obsahu mysli i na blizkou budoucnost.

Snad se doziju doby, kdy od providera dostanu prideleno pouhopouhych nekolik IPv6.

[Roman Schulz]

takhle nejak by vypadala sekce server v konfiguraku pro nginx

    # server definitions
    server {
        listen 80;
        location / {
            if ($host ~ ^(host1.domena.cz)$ ) {
                proxy_pass http://vnitrni_ip1:80;
            }
            if ($host ~ ^(host2.domena.cz)$ ) {
                proxy_pass http://vnitrni_ip2:80;
            }
        }
    }

a je to

[frEon]

ja abych spis navrhoval udelat pro kazdou, takhle presmerovavanou domenu 3. radu, samostatny vhost. jednak je to mirne prehlednejsi a hlavne je to trosicku rychlejsi - nginx nebude muset udelat u kazdeho requestu ten if.

[VSi]

Myslíte, že by zpřístupnění těch služeb na IPv6, skutečně vyřešilo tenhle konkrétní problém?

Záleží, co je potřeba a co je cílem. Pokud k těm službám má přistupovat pár lidí, kteří mají možnost získat IPv6 konektivitu nebo tunel, je IPv6 pravděpodobně správné řešení.

Na druhou stranu, pokud jde o služby, které je potřeba TEĎ zpřístupnit většímu počtu lidí, jejichž složení cca odpovídá internetové populaci (tj. převážně ne geekové), tak IPv6 problém neřeší. Protože z těch lidí má do IPv6 sítě přístup pár procent. A ty konkrétní služby třeba IPv6 přímo neumí. Takže jakékoliv řešení typu NAT na jiném portu nebo reverzní proxy, pokud tu službu nakonec zprovozní, bude reálně lepší než IPv6, protože TEĎ umožní používat službu více lidem.

Rozšiřování IPv6 má základní problém: nic (zatím) nenutí poskytovatele obsahu zpřístupnit obsah skrze IPv6. Nové příjmy to nepřinese, takže jediný důvod je "predběžná opatrnost", aby byli připraveni do budoucna, kdyby se náhodou objevila ekonomická nutnost (skrze nějakou killer app) tu technologii nasadit. Na druhé straně pak mnohým ISP reálně došly IPv4 adresy už před lety, a nástup IPv6 to nijak neurychlilo. Takže se čeká na tu aplikaci, a zatím nevidím tržní sílu, která by jednu nebo druhou stranu nutila IPv6 zavádět rychleji. I když už se objevují první náznaky např. u O2, že noví zákazníci ADSL v horizontu 1-2 let budou dostávat IPv6 adresy. Za to jsem rád.

Závěr: IPv6 je potřeba, už dlouho, málokdo tvrdí že není. Jenže problémy je obvykle potřeba řešit TEĎ, a to IPv6 nenabízí.

[Jendа]

Myslíte, že by zpřístupnění těch služeb na IPv6, skutečně vyřešilo tenhle konkrétní problém?

Teď hned ne, ale kdyby už bylo IPv6 zavedené, tak by tento problém pravděpodobně nevznikl.

IPv6 je potřeba, už dlouho, málokdo tvrdí že není.

A právě na to málo pan Kubeček narážel.

[kolcon]

DNATem (port forward) podle cilove adresy, na kterou to doleze na ten hranicni firewall

[P.]

proc to cpes sem a ne do poradny? vyzaduje tvuj dotaz snad vic pozornosti a pece?