Как в windows повесить две службы на один порт? Или как заменить порт в зависимости от источника?

Question

[Илья лук]

Вообщем нужно RRAS и ISS (иди другой вебсервер) повесить на один порт.
Что-то типо такого сделать нужно:

iptables -t nat -C PREROUTING -s 1.1.1.1 -p tcp --dport 443 -j REDIRECT --to-port 4444
где 4444 порт веб сервера.

Comments

[Zerg89]

Погуглите iis как реверс прокси

Answer 1

[Пума Тайланд]

из коробки никак, кто первый сокет занял тот и слушает. netsh portproxy не аналог iptables: умеет только listenport в connectport, без условия «если источник такой-то — туда, иначе сюда». Для source-based редиректа нужен слой перед сервером: nginx stream, haproxy, mikrotik, pfsense, и уже там DNAT по source ip. Если у тебя конкретно SSTP (RRAS VPN) плюс IIS, они и без танцев могут сидеть на одном 443 через http.sys: SSTP бьёт в свой url, остальное уходит на IIS. Но это не то же самое что фильтр по source ip.
p.s. если внешних IP несколько, проще раскидать по ним, чем городить прокси.

Comments

[Илья лук]

у меня vps так что наверное буду nginx stream в качестве прослойки. На Windows же встанет?

SSTP бьёт в свой url

В этом и проблема. Мне нужно sstp сервер скрыть от не нужных IP замаскировав сайтом.

[Пума Тайланд]

Илья лук, а зачем вам это нужно?

[Илья лук]

Пума Тайланд, ютуб посмотреть хочу)

[Пума Тайланд]

Илья лук, а зачем такие сложности оно и так будет работать

[Пума Тайланд]

Илья лук, nginx для Windows умеет stream и TCP он проксирует нормально, SSTP заведёшь. Только это официально beta-сборка (реально пашет один воркер, select/poll) и UDP там вообще не работает, но для SSTP по TCP это не критично.

[Илья лук]

Пума Тайланд, Ну по первых это красиво. Во вторых я как патриот верю в успехи государственного IT. Всмысле боюсь научатся обнаруживать sstp если его за веб сайтом не прятать))

[Пума Тайланд]

Илья лук, да его и за сайтом будут обнаруживать

[Илья лук]

Пума Тайланд, А как?

[Пума Тайланд]

Илья лук, ну сейчас уже же давно dpi всем плевать спрятал ты за сайтом или нет

[Zerg89]

Илья лук, конкретно для youtube goodbyedpi с подбором стратегии и doh с предотвращением утечек dns вне doh работает

[Илья лук]

Пума Тайланд, А что dpi? Идет зашифрованный трафик на порт 443 что тут подозрительного может быть?

[Пума Тайланд]

Илья лук, да все, это же не работает уже давно в чистом виде. Проанализировать пакеты нынче не сложно, Азат на 443 или другой порт вообще особо не влияет

[Zerg89]

Илья лук,

А что dpi? Идет зашифрованный трафик на порт 443 что тут подозрительного может быть?

habr.com здесь можно почитать как работает тспу(приблизительно)

[Илья лук]

Пума Тайланд, Блин я почему-то думал что sstp и https не отличимы...

Answer 2

[Drno]

впн сервера не поднимаются на виндовс. они поднимаются на винде - ставь ocserv если sstp
или микротик CHR

либо AWG \ openVPN \ vless

никакие сайты тебя не спасут. у меня ТСПУ банит ВАЛИДНЫЙ сервер с НЕКСКЛАУДОМ в РФ у крупного хостера... с доменом подписями и прочими плюшками... делай выводы

Comments

[Илья лук]

А почему ТСПУ должны как-то плохо отреагировать на мой сервер? Вроде ничего палевного нет.
На НЕКСКЛАУДЕ этом точно никакого випиэнна не было?

[Drno]

Илья лук, неа. он тригерится на отпечаток VLC плеера, который встроен в клиент некстклауда, и через который я иногда хочу кино посмотреть)

Answer 3

[Никита Михайловский]

Если есть свободные внешние IP, не мучайтесь с правилами. Просто привяжите каждую службу к своему адресу - это надежнее и проще в поддержке.

Comments

[AUser0]

В том и смысл, что ему надо на конкретном порту замаскировать одну особенную службу другой, безобидно-легитимной... Разные IP такую маскировку не дают, в чём и проблема.

Answer 4

[Кот Абсолютный]

Никак. Такие вещи не делаются на винде.

Кроме того, технология защиты от активного пробинга (а сайт-то нужен ведь только за этим?) от бана все равно не спасет - прошли те времена, когда достаточно было развернуть сайт с котиками.