Как осуществить доступ через внешний IP на свои ресурсы, находящиеся внутри сети?

Question

[Хикмат Абдунабиев]

Здравствуйте!
Поставили такую задачу. Есть веб сервера находящийся в локальной сети (к примеру: aaa.test.com - 192.168.1.10, bbb.test.com - 192.168.1.11 и т.д.) есть статический белый айпи (к примеру: 10.0.0.1). Как сделать так чтоб при обращение из интернета по домену aaa.test.com (10.0.0.1) этот домен пробрасовался во внутренний ip локальной сети. Какие фаерволы или иные технологии позволяют это осуществить.
Схема примерно DNS -> firewall -> web_server (LAN)
В какую сторону копать?!

Comments

[Lynn «Кофеман»]

nginx, haproxy и т.п.

[Хикмат Абдунабиев]

Алексей Тен, Задача стоит пропускать это через фаервол. Т.е. DNS -> firewall -> web_server (LAN).
Вопрос стоит какой firewall может сделать такое?

[АртемЪ]

Хикмат Абдунабиев,

Задача стоит пропускать это через фаервол..

Чтобы пропустить трафик через фаервол нужно правило файервола.

DNS -> firewall -> web_server (LAN).

Это что-то невообразимое, и не имеющее смысла. Расшифруйте пожалуйста.
А то тут в куче и система доменных имен, и файервол, и веб сервер, и локальная сеть.

[Хикмат Абдунабиев]

АртемЪ, Так попробую объяснить по проще. В DNS прописан домен к примеру aaa.test.com - 195.158.0.1, этот статический ip прописан в железном firewall, далее при обращение из интернета по домену aaa.test.com на него должен отвечать web сервер (192.168.1.10) который находится за firewall во внутренней локальной сети компании. Как это осуществить?

[АртемЪ]

Хикмат Абдунабиев, Элементарно.
Веб сервер работает по двум портам - 80(http) и 443(https)
Следовательно нужно на роутере которому присвоен адрес 195.158.0.1 написать правило файеровола, которое будет все пакеты пришедшие на порты 80 и 443 перенаправлять на локальный адрес 192.168.1.10
Это называется проброс портов.
Если назовете модель роутера подскажу как это сделать более детально.

[Хикмат Абдунабиев]

АртемЪ, Это-то ясно, а как быть если там несколько веб серверов с разными доменами?!

[Хикмат Абдунабиев]

АртемЪ, Вот на счет железо и идет вопрос. Есть Cisco ASA5515-X. Сможет ли он такое?

[АртемЪ]

Хикмат Абдунабиев,

как быть если там несколько веб серверов с разными доменами?!

Сначала настроить проброс портов - в итоге все запросы по всем доменам будут попадать на локальный адрес 192.168.1.10
А дальше - ставите на этом адресе прокси сервер например nginx - который в соответствии с доменным именем указанным в запросе перенаправит запрос на нужный вам сервер.

В итоге вам нужно две настройки -

• на файерволе чтобы трафик попадал в локальную сеть
  
• на прокси сервере - чтобы трафик попадал на нужный веб сервер в соответствии с доменом.
  

Файервол ничего не знает про домены, а прокси сервер не умеет пропускать трафик через NAT.

Cобственно это я вам и написал в ответе.

[АртемЪ]

Хикмат Абдунабиев,

Вот на счет железо и идет вопрос. Есть Cisco ASA5515-X. Сможет ли он такое?

Банальный проброс портов умеет делать практически любой SOHO роутер, даже Dlink за 300рублей.

Белый адрес присвоен этому роутеру Cisco ?

[Хикмат Абдунабиев]

АртемЪ, Да рассчитывается что белый айпи будет на Cisco, за ним будет несколько веб серверов со своим доменом (к примеру aaa.test.com - 192.168.1.10, bbb.test.com - 192.168.1.11 и т.д.). Веб серверов с разными доменами будет примерно 10 штук.

[АртемЪ]

Хикмат Абдунабиев,

Да рассчитывается что белый айпи будет на Cisco

Значит на Cisco настраиваете проброс портов на какой-то один сервер в локальной сети например 192.168.1.10
Потом ставите прокси сервер NGINX и настраиваете на нем проксирование в зависимости от домена например bbb.test.com - 192.168.1.11.

Веб серверов с разными доменами будет примерно 10 штук.

Да хоть сотня.

Answer 1

[Dimonchik]

маршрутизатор + маркировка пакетов

марш может быть микротиком, любым другим, сервером с линуксом и т.п.

Answer 2

[АртемЪ]

есть статический белый айпи (к примеру: 10.0.0.1).

Адрес в примере явно не белый.

Как сделать так чтоб при обращение из интернета по домену aaa.test.com (10.0.0.1) этот домен пробрасовался во внутренний ip локальной сети.

Никак. Домен это имя его пробросить нельзя.
Пробрасывают порты. Можно сделать чтобы все запросы пришедшие на IP адрес перенаправлялись (пробрасывались) на другой IP адрес. Домен тут вообще ни при делах.

Чтобы осуществить доступ к веб серверу за NAT нужен проброс портов с сервера где делается NAT на Web сервер.
Если веб серверов несколько - используется прокси сервер.

Comments

[Хикмат Абдунабиев]

Нашел в просторах интернета Hairpin NAT. Вроде то что надо.

[АртемЪ]

Хикмат Абдунабиев, Даже близко не то что вам надо.
Hairpin NAT это настройка NAT таким образом чтобы он правильно делал маскарадинг запросам из локальной сети, чтобы не получалось ситуации когда ответ на вопрос отправленный белому адресу приходит с серого.
Это единственная цель Hairpin NAT.

Если вы хотите обращаться к локальным ресурсам по внешнему IP адресу - вам нужен Hairpin NAT.

Answer 3

[Хикмат Абдунабиев]

Нашел в просторах интернета Hairpin NAT. Вроде то что надо. Какие оборудования умеют это кроме Mikrotik?!

Comments

[АртемЪ]

Это явно не то что вам надо, если вы конечно правильно описали задачу.
Hairpin NAT позволяет осуществлять доступ из локальной сети по белому адресу.
Если пользователи вашего веб сервера будут в той же локальной сети что и веб сервер - значит нужен Hairpin NAT