Dotaz: Pripojeni na server pres verejnou IP z vnitrni site

[Jan Pospisil]

Dobry den, mam verejnou IP adresu s domenovym jmenem. Na routeru mam nastavene DMZ na jednu IP adresu vnitrni site, na ktere bezi muj server. Na serveru bezi web a jeste spousta dalsich sluzeb. Pokud se pripojuji z venku, bez problemu se treba na web pripojim pres domenove jmeno nebo verejnou IP. Pokud jsem vsak v domaci siti, tedy ve stejne mistni siti jako zmineny server, potom mi pripojeni pres verejnou IP ani domenove jmeno nefunguje a musim pouzivat lokalni adresu serveru tedy 192.168...

Je mozne to nejak vyresit, tak abych se i z mistni site mohl na server pripojit pres verejnou IP?

Odpovědi

[Filip Jirsák]

Už se to tu řešilo mnohokrát. Buď si v lokální síti zprovozněte kešující DNS server, který bude doménové jméno vašeho serveru překládat na jeho IP adresu v lokální síti.

Nebo musíte na routeru nastavit vedle současného DNATu taky SNAT – nyní jde paket od klienta na router, ten jej přesměruje na server, ovšem zůstane mu původní zdorjová adresa klienta. Server tedy odpoví přímo klientovi, jenže ten dostane paket, který nepatří do žádného jím navázaného spojení (klient navazoval komunikaci s veřejnou IP adresou serveru, odpověď ale dostal od jeho lokální IP adresy). Když na routeru zprovozníte pro IP adresu i SNAT, router přepíše zdrojovou IP adresu na svou a server pak odpověď pošle routeru, ne přímo klientovi, a router má možnost dokončit DNAT.

Pokud nechcete zprovozňovat kešující DNS resolver ani nemůžete na routeru udělat SNAT, zbývá ještě oddělit od sebe sítě klientů a serveru. Tj. např. klienti by byly v síti 192.168.1.0/24 a server(y) v síti 192.168.2.0/24. Obě síti by pak jako výchozí bránu měly router, a o sobě by navzájem nevěděly. Tj. na server by pak sice doputoval paket se zdrojovou adresou 192.168.1.10, ale server by nevěděl, že tuhle adresu má dostupnou přímo na ethernetovém segmentu, takže by odpověď poslal na výchozí bránu, tedy na router.