Как сделать доступным сервис из lan и из wan по имени?

Question

[Zenko]

Есть сервис допустим https://service.domain, сервер с данным сервисом расположен в DMZ роутера который смотрит в интернет, таким образом данный сервер доступен из интернета, но недоступен из внутренней сети.
Во внутренней сети AD с таким же DNS-доменом: .domain соответственно, когда юзер из внутренней сети идет на https://service.domain , внутренний DNS-сервер не находит такого имени, но и не делегирует запрос вышестоящему DNS, так как пространство имен как-бы его.
В таком случае, можно добавить принудительно в DNS-сервер запись service.domain = внешний ір роутера (из интернета сервис доступен). Но в таком случае, не будет ли создаваться лишняя нагрузка на роутер внутренними юзерами?
Возможно есть какой-то более приемлимый способ? При этом, без открытия прямого доступа из внутренней сети в DMZ.

Comments

[Valentin Barbolin]

В таком случае, можно добавить принудительно в DNS-сервер запись service.domain = внешний ір роутера

Почему нельзя внутренний IP указать, что бы пользователи из локальной сети ходили напрямую?

[Zenko]

Andrey Barbolin, я уже понял как, сервис необходимо перенести в локальную сетку, а в ДМЗ разместить проксирующий сервер. Тогда не будет лишнего трафика наружу и ДМЗ будет максимально изолировано от локальной сети.

[Valentin Barbolin]

Zenko, Как вариант.

[hint000]

Zenko, можно пойти дальше и отказаться от DMZ. Всё равно таким решением вы сводите к нулю пользу от DMZ. Подумайте об этом. Если ИБ для вас не пустой звук, то не делайте так. Уязвимость в сервисе - и без боя сдаёте врагу всю локалку.

Answer 1

[res2001]

Добавьте на внутренний ДНС запись о сервере.
Адреса сервера для внешнего и внутреннего ДНСа могут быть разные.

Answer 2

[Zenko]

Если использовать 3х уровневую модель архитектуры и выделить для каждой части свою виртуалку, тогда:
сервер БД и апп сервер(логика) будут в одном экземпляре, а view (web-сервер), на котором и запущен сервис могут дублироваться во внутренней сети и в ДМЗ.
Конечно прийдется открыть поток по определенному порту из ДМЗ к аппсерверу, но тогда этот доступ будет строго ограничен портом и іршниками, что минимизирует риски взлома но и не исключает их.
Такую вот мысль подкинули.