12
Eine öffentliche IP - zwei Anwendungen mit HTTPS
Wir haben eine öffentliche IP-Adresse, möchten darüber aber zwei verschiedene Server mit verschiedenen Anwendungen in unserer DMZ über HTTPS also Port 443 ansteuern. Gibt es eine Möglichkeit, außer einer weiteren IP, die Rechner anzusteuern?
Danke für die Ratschläge
Danke für die Ratschläge
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 179205
Url: https://administrator.de/contentid/179205
Printed on: April 26, 2024 at 00:04 o'clock
12 Comments
Latest comment
Einige Loadbalancer können die HTTPS-Aufgabe übernehmen, also bis zum Loadbalancer läuft es unverschlüsselt, ab dem Loadbalancer läuft es bis zum Client verschlüsselt. Dort sollte dann auch die Möglichkeit gegeben sein, eine Unterscheidung nach bestimmten Kriterien aufzubauen.
Hallo,
Ein Reverse Proxy.
Hab vor kurzer Zeit eine hier eine Anleitung für Nginx geschrieben der kann das z.b.
Edit: Ach warum machst du das denn über 2 Server?
Ein Reverse Proxy.
Hab vor kurzer Zeit eine hier eine Anleitung für Nginx geschrieben der kann das z.b.
Edit: Ach warum machst du das denn über 2 Server?
ich werde jetzt mal etwas konkreter. Meine Fragestellung war etwas sehr allgemein.
Also die Umgebung sieht so aus: Wir haben eine öffentliche IP-Adresse: 200.x.x.x. Dahinter ist eine DMZ mit Server 1, darüber läuft ein Gateway, welches HTTPS benötigt. Auf Server 2 läuft ein anderes Gateway das auch HTTPS benötigt. Beide will ich von außen erreichen.
Natürlich klappt das nicht, wenn ich https://200.x.x.x eingebe wird natürlich nur auf den Rechner geforwardet der in der Firewall eingetragen ist.
Meine Frage ist ob das dazu eine andere Möglichkeit gibt über Domain Namen. z. B. https://server1.firma.de und https://server2.firma.de, worüber das ganze dann umgesetzt werden kann?
Also die Umgebung sieht so aus: Wir haben eine öffentliche IP-Adresse: 200.x.x.x. Dahinter ist eine DMZ mit Server 1, darüber läuft ein Gateway, welches HTTPS benötigt. Auf Server 2 läuft ein anderes Gateway das auch HTTPS benötigt. Beide will ich von außen erreichen.
Natürlich klappt das nicht, wenn ich https://200.x.x.x eingebe wird natürlich nur auf den Rechner geforwardet der in der Firewall eingetragen ist.
Meine Frage ist ob das dazu eine andere Möglichkeit gibt über Domain Namen. z. B. https://server1.firma.de und https://server2.firma.de, worüber das ganze dann umgesetzt werden kann?
Das würde ein Reverse Proxy machen. Ob dein Mailgateway damit klar kommt ist eine andere Sache.
Dein Problem ist das du nur eine einzige öffentliche IP Adresse hast auf der du nur einen einzigen Port Forwarding Eintrag für TCP 443 binden kannst. Folglich wirst du dann ohne Port Translation nichts machen können um die NAT Firewall zu überwinden von außen ala https://server.firma.de (Server 1) und https://server.firma.de:8088 (Server 2)
Da helfen auch keinerlei Domainnamen, denn die enden ja wieder unweigerlich bei einer öffentlichen IP.
Da helfen auch keinerlei Domainnamen, denn die enden ja wieder unweigerlich bei einer öffentlichen IP.
Zitat von @aqui:
Dein Problem ist das du nur eine einzige öffentliche IP Adresse hast auf der du nur einen einzigen Port Forwarding Eintrag
für TCP 443 binden kannst. Folglich wirst du dann ohne Port Translation nichts machen können um die NAT Firewall zu
überwinden von außen.
Währ ja auch nicht meine Idee. Den Port würd ich auf den Proxy leiten. Der arbeitet dann die Anfragen anhand der Domainnamen ab.Dein Problem ist das du nur eine einzige öffentliche IP Adresse hast auf der du nur einen einzigen Port Forwarding Eintrag
für TCP 443 binden kannst. Folglich wirst du dann ohne Port Translation nichts machen können um die NAT Firewall zu
überwinden von außen.
Die andere Idee bei dem zeiten Server kpl. auf einen anderen Port zu gehen.
@wiesi200
Da hast du Recht das wäre dann die einzige sinnvolle Option wenn man keine Port Translation will und nur eine einzige IP hat.
Alternativen sind dann nur ein kleines 4er Subnetz vom Provider und 1:1 NAT auf die Server.
Da hast du Recht das wäre dann die einzige sinnvolle Option wenn man keine Port Translation will und nur eine einzige IP hat.
Alternativen sind dann nur ein kleines 4er Subnetz vom Provider und 1:1 NAT auf die Server.
Wiesi200: Das mit dem Reverseproxy schaue ich mir mal an.
Aqui: Kannst du das mit dem 4er Subnetz vom Provider mal näher erklären? Ich kann mir da nichts drunter vorstellen. Wie klappt das mit der Firewall?
Aqui: Kannst du das mit dem 4er Subnetz vom Provider mal näher erklären? Ich kann mir da nichts drunter vorstellen. Wie klappt das mit der Firewall?
Zitat von @hanswurst12:
Aqui: Kannst du das mit dem 4er Subnetz vom Provider mal näher erklären? Ich kann mir da nichts drunter vorstellen. Wie
klappt das mit der Firewall?
Dem Provider sagen du brauchst mehr IP'sAqui: Kannst du das mit dem 4er Subnetz vom Provider mal näher erklären? Ich kann mir da nichts drunter vorstellen. Wie
klappt das mit der Firewall?
Das endet allerdings in deutlichen Mehrkosten, da die Firewall nur eine öffentliche IP verwalten kann. Danke für die Antworten, ich seh schon.. eine einfache Möglichkeit gibts da wohl nicht.
Zitat von @hanswurst12:
Das endet allerdings in deutlichen Mehrkosten, da die Firewall nur eine öffentliche IP verwalten kann.
Das endet allerdings in deutlichen Mehrkosten, da die Firewall nur eine öffentliche IP verwalten kann.
Was ist das für eine komische Firewall, die nicht mehr als eine öffentliche IP zuläßt?
Einfach ein /29 geben lasssen udn hinter die firewall ins DMZ routen.
lks
@hanswurst
Ja, sicher es wird dich mehr kosten aber nicht deutlich. Du bekommst dann vom Provider statt nur einer Adress ein kleines Subnetz mit z.B. 4 Adressen.
Davon nimmst du eine für deine Firewall und kannst dann z.B. 2 dieser Adressen in der FW mit einem 1:1 NAT direkt auf die Server umleiten lassen.
Es ist Blödsinn das die FW nur eine IP verwalten kann mit NAT kann sie aus dem gleichen Subnetz auch weitere feste IPs einem NAT Prozess zuweisen. Das können auch billige Taiwan FWs vom Blödmarkt Grabbeltisch. Hast du mal ins Handbuch deiner FW gesehen ?? Vermutlich nicht...
So einfach wäre das dann !
Ansonsten bleibt dir nur die Option reverse Proxy wie Kollege wiesi schon gesagt hat oder eben die simple Port Translation auf der FW da musst du dann für den 2ten Server aber immer den Zielport dann im URL angeben wie oben beschrieben !
Ja, sicher es wird dich mehr kosten aber nicht deutlich. Du bekommst dann vom Provider statt nur einer Adress ein kleines Subnetz mit z.B. 4 Adressen.
Davon nimmst du eine für deine Firewall und kannst dann z.B. 2 dieser Adressen in der FW mit einem 1:1 NAT direkt auf die Server umleiten lassen.
Es ist Blödsinn das die FW nur eine IP verwalten kann mit NAT kann sie aus dem gleichen Subnetz auch weitere feste IPs einem NAT Prozess zuweisen. Das können auch billige Taiwan FWs vom Blödmarkt Grabbeltisch. Hast du mal ins Handbuch deiner FW gesehen ?? Vermutlich nicht...
So einfach wäre das dann !
Ansonsten bleibt dir nur die Option reverse Proxy wie Kollege wiesi schon gesagt hat oder eben die simple Port Translation auf der FW da musst du dann für den 2ten Server aber immer den Zielport dann im URL angeben wie oben beschrieben !
