Dotaz: Komunikacia medzi servrami

[Quin]

Dobry den, vopred sa ospravedlnujem za asi nie najlepsie zvoleny topic pre moj problem, ale neviem kam presnejsie to hodit.

Potreboval by som pomoc s nasledujucim problemom: mam doma nejaky server na ktorom mi bezi apache, mysql a spol. (do internetu pristupuje pod spolocnou zdielanou sietovou IP 9.8.7.6). Na internete mam server s verejnou IP adresou (napr.: 1.2.3.4). Potreboval by som dosiahnut, aby ked z internetu niekto zavola server 1.2.3.4 na porte 80, aby server 1.2.3.4 zavolal moj server 9.8.7.6 na porte 80, ktory by mu nasledne preposlal data a tie by sa uzivatelovi objavili v prehliadaci - server 9.8.7.6 by sa tvaril ako server 1.2.3.4.

No, dufam ze ste aspon trochu pochopili, ak mate aspon nejake vedomosti alebo informacie k tejto teme, vopred Vam za ne dakujem.

Odpovědi

[mozog]

ak je 9.8.7.6 verejna IP, tak na stroji 1.2.3.4 by malo stacit

iptables -t nat -A PREROUTING -p tcp -i $IFACE -d 1.2.3.4 --dport 80 -j DNAT --to 9.8.7.6:80

kde $IFACE je interface s IP adresou 1.2.3.4

[Filip Jirsák]

K tomuhle by ale byl potřeba ještě SNAT, jinak se cílový server bude pokoušet odpovědět přímo klientovi, který ale od něj žádné pakety nečeká, zahodí je a spojení se nenaváže.

Druhá možnost, podle mne lepší, je použít reverzní proxy server – existuje na to modul do Apache, můžete použít Squid, nebo něco jiného. A můžete pak líp řídit HTTP psojení, než jenom s pouhým přesměrováním portů. Navíc místo přesměrování portů by asi stačilo zěmnit DNS záznam

Obě dvě varianty (DNAT a reverzní proxy) ale předpokládají, že je váš domácí počítač ze serveru dostupný (tj. má buď veřejnou IP adresu, nebo sice privátní, ale server je s ním ve stejné síti). Pokud by tomu tak nebylo, musel by spojení navázat váš domácí počítač a udržovat nějaký tunel – např. přes ssh.

[Quin]

Ďakujem za rady. Domaci pocitac nema verejnu IP, ten tunel by mohlo byt riesenie, ale ssh je myslim na to dost pomale. Nedal by sa vybudovat nejaky rychlejsi tunel ?

[AraxoN]

Ak má domáci počítač neverejnú adresu, tak router ktorý poskytuje preklad adries (NAT) musíš nastaviť tak, aby packety prichádzajúce z 1.2.3.4 na TCP port 80 forwardoval na 5.6.7.8 (lokálna adresa toho domáceho počítača) port 80. Všetky tie lacné NATovacie domáce routre, ktoré som doposiaľ videl, mali takúto možnosť.

A samozrejme, k tomu ten reverzný proxy na 1.2.3.4 je dobrý nápad.

[Filip Jirsák]

ssh data šifruje, to může zpomalovat. Rychlejší tunel by znamenalo použít něco bez šifrování. Zhlavy mne žádný program nenapadá, ale zkuste hledat „TCP tunnel“ nebo VPN, můžete se taky inspirovat třeba článkem o OpenVPN nebo TUN/TAP.

[Michal Kubeček]

Pokud se člověku nechce do překladu adres, ale na druhou stranu ani do proxy, dobrou práci odvede také rinetd, který je tak trochu uprostřed.

Mimochodem, proč se tomu vlastně říká reverzní proxy? Vždyť na ní nic reverzního není, je sice na druhé straně, ale není otočená obráceně, aby byl důvod jí říkat reverzní.

[Ash]

Já bych to chápal tak Cimrmanovsky -- když někomu volám, říkám o něm, že je "tam", zatímco on by řekl, že je ve skutečnosti "tady". I když rozhodně není na dvou místech současně :D No nic.

"Reverse" je "obrácený", nebo "opačný", a u "opačný" už je docela velká volnost, jak si to vyložit. Třeba jako "na opačné straně", imho. Třeba "revers" je opačná strana, a nejedná se tam o směr, ale spíš o lokaci. Ale je to docela matoucí, to je pravda...

[Filip Jirsák]

Mimochodem, proč se tomu vlastně říká reverzní proxy? Vždyť na ní nic reverzního není, je sice na druhé straně, ale není otočená obráceně, aby byl důvod jí říkat reverzní.

Tou samou otázkou jsem při psaní komentáře sám sebe znejistěl tak, že jsem se radši podíval na Wikipedii, zda se tomu opravdu říká reverzní proxy. Tam je název vysvětlován podle směru trafficu – „normální“ („dopředná“) proxy je pro odchozí provoz, „reverzní“ pro příchozí. Jsou i divnější názvy

Reverzní proxy by mohl být třeba taky elgooG

[Ash]

Nojo, jenže je to trochu v tom, že se jedná pořád o jeden a ten samý provoz -- tedy směr toku dat je z "absolutního hlediska" stejný. Pouze je v každém z případů tok jinak pojmenován -- jednou jako odchozí a podruhé jako příchozí, ale je to pořád ten samý tok téhož směru, že :) A ta proxy funguje vcelku podobně. Ale asi to nemá smysl řešit, prostě je reverzní a basta :D

[Michal Kubeček]

Přesně tohle jsem měl na mysli: ta proxy funguje pořád stejně, jen je na druhé straně. Co když bude proxy uprostřed mezi klientem a serverem (svého času třeba někteří provideři experimentovali s transparetními proxy pro veškerý HTTP provoz svých klientů), je pak "normální" nebo "reverzní"?

[Ash]

Já bych ji nazval pořád ještě "normální" -- obecně bych za "normální proxy" považoval takovou, která je určena pro "více jak malý" počet webserverů. Tedy například "pro celý internet" (tedy vše krom intranetu). Za reverzní bych považoval takovou, která slouží pro menší počet webserverů, třeba nějaký ten cluster v jedné firmě a pod.

Ale třeba kdyby měl podnik 5 webů na intranetu, a mezi (jen) intranetího klienta a těch 5 webů by se dala proxy, tak to bych docela váhal :) Tam bych asi koukal na její přesné schopnosti -- jak moc spolupracuje s webservery. Jestli jen "tupě", tedy sem tam něco cachuje (=normální), nebo jestli jim hodně pomáhá, třeba má lokálně všechny obrázky (a requesty na obrázky defacto od webů úplně odstiňuje = reverzní).

[cronin]

Nezalezi na tom, kde je proxy server fyzicky ci sietovo umiestneny, vzdy je to to iste: "normalny" proxy server skryva skutocneho klienta pred serverom, zatial co "reverzny" proxy server skryva skutocny server pred klientom.

[Michal Kubeček]

To myslíte vážně?

[cronin]

Ano, vazne. A zopar instalacii normalnych i reverznych proxy serverov na najroznejsie ucely uz sa sebou mam, takze viem celkom dobre, o com hovorim.

[Michal Kubeček]

V tom případě byste si ovšem měl všimnout, že ty řeči o "skrývání" nemění nic na tom, že mezi "normální" a "reverzní" proxy ve skutečnosti není žádný podstatný rozdíl, protože obě dělají totéž: přijmou HTTP request od klienta a buď na něj odpovědí samy (z cache) nebo provedou dotaz na server a odpověď přetlumočí klientovi. Nepatrný rozdíl je jen v tom, jestli jsou blíž klientovi nebo serveru.

[Ash]

Vy to asi víte, ale ta prezentace věci je nějaká divná :) -- co si přesně představujete pod pojmem "skrývání".

Já bych viděl rozumnější rozlišování nejprve podle primárního, sekundárního atd. účelu dané proxy a v případě nejasností pak podle lokace. Takže třeba rozdělování toku mezi více fyzických webserverů bych bral jako činnost reverzní proxy, proxy která dělá pouhé pasivní cachování může být oboje -- a tam bych rozlišoval podle jejího umístění.

Jako neřešitelný beru hypotetický příklad dvou klientů a dvou webservrů na intranetu, kde přesně uprostřed je proxy a ta cachuje výsledky :)

[cronin]

Ak Ti ide iba o http, https alebo ftp, tak presne to, čo chceš, robí tzv. reverzný proxy server. Túto funkcionalitu poskytuje napr. Apache.