Как правильнее выпустить сайт в интернет по https?

Question

[Mad_runner]

Имеется веб-сервис работающий на IIS в Win SRV 2012R2(виртуальный сервер в hyper-v). Сейчас на него ходят в локальной сети по http:\\1.1.1.1/service.
Нужно выпустить его в мир, тут я вижу и знаю такие варианты:

v1) делаю на роутаре проброс порта 80(или 1088) к серверу IIS. Пользователям нужно запоминать какие-то циверки, циверки в офисе и дома получаются разные, если порт нестандартный то + ещё какой-то значок и циверки): http:\\100.120.120.101:1088/service.

v2) получаю сертификат на Let's Encrypt делаю проброс портов 80,443. Делаю запись в локальном DNS и все ходят везде по имени домена: service.companyname.com

v3) получаю коммерческий серификат(пока не знаю сколько это стоит и как получать сертификат) делаю проброс портов 80,443. Делаю запись в локальном DNS и все ходят везде по имени домена: service.companyname.com

Вопросы:
1)собственно по какому пути идти?
2)нужно-ли докручивать безопасность на IIS и что крутить?
3)имеет ли смысл добавлять еще один сетевой адаптер на IIS и с него пускать в мир?

P.S. может здесь что-то написал неправильно, поправляйте буду благодарен!

Comments

[Ezhyg]

А чего это в адресах обратные слеши? Это же не виндовые общие ресурсы SMB.

[Mad_runner]

а есть принципиальная разница?
а так привык http:\\, а далее вложенность обратными слешами.

Answer 1

[Ziptar]

1)собственно по какому пути идти?

В общем случае вариант 2, остальное может плавать в зависимости от назначения сайта и прочих деталей.

2)нужно-ли докручивать безопасность на IIS и что крутить?

А что на сайте то? Аутентификацию крутите, что б безопасно.
В целом можно выделять под сайт отдельный сервер, организовывать DMZ, но нужно ли оно в вашем случае?

3)имеет ли смысл добавлять еще один сетевой адаптер на IIS и с него пускать в мир?

Без DMZ - только если большая нагрузка.

Comments

[Mad_runner]

3)имеет ли смысл добавлять еще один сетевой адаптер на IIS и с него пускать в мир?
Без DMZ - только если большая нагрузка.
А планирую добавить еще один ВИРТуальный сетевой адптер, чтоб на нем крутить правила браундмауэра и т.д.

Answer 2

[Igor Tkhorik]

Можно сгенерировать сертификат самому в IIS, поставить только https, и дописать в проект авторизацию (ну или написать отдельный сервис авторизации и сделать переадресацию на первый сервис при отсутствии исходников первого) ну или сделать авторизацию средствами IIS. Потом настроить DNS внутри (или сделать свой DNS сервер в windows server). После перенаправления порта 443 на внутренний сервис купить домен и настроить dns через Cloudflare.

Comments

[Mad_runner]

авторизация в проекте есть.

Если я сам сгенерирую сертификат он будет работать для интернета?(а думаю он годится только для локальной сети).

[Igor Tkhorik]

Jonatan_ice, Он просто будет самоподписанным и ваш браузер не будет ему доверять и его нужно будет сделать доверенным(но да проще на тоже cloudflare будет сделать себе сертификат и добавить его в IIS).