Dotaz: Přesměrování portu 80 a zároveň vhostu

[B0biN]

Zdravím, řeším takový problém. Mám firemní linux router na debianu, kde řeším firewall pomocí iptables. Vzhledem k tomu, že využíváme e-shop, který je napsaný v asp, musím přesměrovávat port 80 na windows server ve vnitřní síti. To přesměrování dělám pomocí iptables. Ale teď se mi jedná o jednu věc. Na tom linux routeru běží i pošta a potřebuji rozchodit webmail na adrese webmail.firma.cz, ale veškerý provoz na port 80 se mi směřuje na vnitřní windows server. Nenapadá vás jak to udělat, aby port 80 šel přesměrovat na vnitřní serever jinak než přes iptables? Ja vím, že by řešením mohl byt provozovat apache na jiném portu, ale vzhledem k mím BFU kolegům nehodlám pokaždé po telefunu řešit, že musí za url dát ještě :8080 např. díky

Odpovědi

[B0biN]

Teď mě napadla možnost provozovat ten webmail přímo na to IIS server uvnitř sítě, ale to bych musel domontovat podporu php do IIS a vůbec s IIS hýbat a tomu se chci srdečně vyhnout. Nehodlám si zadělat na další průser :o)

[JimiK]

Jen tipuji, nešlo by to nějak vyřešit přes proxy(squid). Taky jsem narazil na podobný problém a přemýšlel nad squidem.

[B0biN]

uups squid ve určen na opačnou stranu ne? Ja potřebuji přesměrování z vnější sítě do vnitřní. Ja mě za to, že squid funguje naopak nebo se pletu?

[Filip Jirsák]

Jedině přes nějaký proxy server, na úrovni iptables hlavičku Host protokolu HTTP nezjistíte (je potřeba příslušný požadavek rozparsovat, a to vám žádný firewall na úrovni IP dělat nebude). Taky můžete udělat na ISS virtual host pro webmail.firma.cz a tam udělat přesměrování na webmail.firma.cz:8080 – bude to BFUvzdorné a provoz můžete směrovat jenom s iptables.

[B0biN]

Také řešení, to mě nenapadlo ... díky

[hates]

tohle se řeší přes mod_proxy primo v apachi. mod_proxy si natahnete jako modul. Pro eshop si na apachi vytvorite vhost a nakonfigurujete ho pro preposilani na druhy server taktez na port 80. na apachi potom vytvorite druheho vhosta pro webmail a ten nakonfigurujete standartne. takhle to mam a rozesilam pozadavky na 3 servery ktere jsou schovane ve vnitrni siti ale na internetu vystupuji vsechny pod svym jmenem a portem 80.

[B0biN]

zupa to bude to pravé ořechové ... moc díky

[Semo]

Predpokladam, ze podobne riesenie, ale pre HTTPS bude asi z principu nemozne, ze? Klasicky vajcesliepkovy problem.

Alebo da sa to nejak rozchodit?

[Filip Jirsák]

Musíte mít serverový certifikát na tom proxy serveru. Prohlížeč pak přes HTTPS komunikuje s ním a proxy server dál komunikuje s pravým serverem (pokud je to po bezpečné síti, může to už klidně být HTTP). Pokud potřebujete vědět třeba údaje z klientského certifikátu, musíte už na tom proxy serveru mít nějakou logiku, která to zjistí a přidá do požadavku. Squid až takhle daleko ohnout asi nepůjde, mod_proxy do Apache neznám, teoreticky by to jít mohlo, no a nebo použít nějaký jednoduchý web server a potřebnou funkcionalitu tam dopsat (ať už jako modul, CGI nebo třeba servlet). Pokud se na to budete dívat tak, že onen proxy server je vlastně ten "správný" HTTPS server, a co má odeslat klientovi zjišťuje shodou okolností od jiného HTTP(S) serveru (místo aby posílal třeba soubory z disku), uvidíte, že to vlastně nic není

[rabi shem]

panove panove

http://www.apsis.ch/pound/

POUND - REVERSE-PROXY AND LOAD-BALANCER

The Pound program is a reverse proxy, load balancer and HTTPS front-end for Web server(s). Pound was developed to enable distributing the load among several Web-servers and to allow for a convenient SSL wrapper for those Web servers that do not offer it natively. Pound is distributed under the GPL - no warranty, it's free to use, copy and give away.

[magnum]

to je fakt take tazke??? server na routri....samozrejme do binda dokopem oba cname-y... ... Port 80 ServerName gw.firma.cz

NameV1rtualH0st ip.ser.ver.a

<V1rtualH0st ip.ser.ver.a> DocumentRoot /home/www/webmail ServerName webmail.firma.cz ... </V1rtualH0st> <V1rtualH0st ip.ser.ver.a> DocumentRoot /home/www/ishop ServerName ishop.firma.cz ... </V1rtualH0st>

a z nudze do adresara /home/www/ishop dohram (ked uz sa chcem vyhnut zvrhlosti menom mod_rewrite ;) ) index.html s nasledovnym obsahom...: <html><head><meta http-equiv="refresh" content="0;url=http://hocico.example.co.prijmem.na.ip.ktoru.naroutujem.na.IIS.server"></head><body></body></html>

ps v1rtualh0st mi inac nezobralo...

[Filip Jirsák]

Těžké to není, ostatně řešení zde padlo několik. Vaše řešení má jednu "drobnou" nevýhodu, že potřebuje 2 veřejné IP adresy. Jenže pokud už je mám, přidělím tu druhou rovnou tomu IIS serveru, ne? No a dělat přesměrování přes html stránku tagem meta, který mohou některé prohlížeče ignorovat, je opravdu drbání se levou rukou za pravým uchem…