Newsgroup: it.comp.os.linux.sys
Titolo: iptables-->dmz_>2 server web sulla 80

Problemino molto semplice: ho una dmz con un server web porta 80, come
posso mettere un altro server web(sempre porta 80) su un altra macchina?
il mio firewall(iptables) come puo' sapere a quale delle 2 macchine
mandare la richiesta?c è un qualcosa che magari fa il matching dell'url
richiesto con qualcosa dato,tipo un nome di dominio?
grazie a tutti
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 grazie a tutti
Guarda che non è iptables che decide a chi mandare la richiesta ma il
DNS.
imposti
'
cippolo.com
' su 1.2.3.4
'
prova.com
' su 2.3.4.5
e sei a posto.
oppure non ho capito la domanda.

non so se ho capito bene la situazione
cmq, se hai una macchina linux firewall e ci sono due server nella dmz 
che vanno nattati, la cosa + semplice che mi viene in mente è avere due 
indirizzi ip sul firewall (alias ethernet) con i quali natti i due 
server della dmz. ti servono però due ip fissi al posto di uno.
ricorda che il firewall non lavora a livello tcp o udp, quindi se ne 
sbatte dei dns o delle get che fanno i browsers. ragiona infatti a 
livello ip.

 
mod proxy di apache può fare questo.
Si imposta il virtual host e lo si redirige sulla seconda macchina (o si 
fa il lavoro su una terza macchina che riconosce il virtual host e 
redirige le richieste alla macchina interessata)
Per l'utente finale non dovrebbe cambiare nulla.
LP


pero' se dice dmz e non ha 2 ip pubblici dovendo fare port forwarding 
deve decidere sul firewall dove redirigere. magari mandando tutto ad 
un revers proxy potrebbe essere un primo passo. pero' non dice se le 
due macchine ospitano le stesse pagine o meno, e neppure se vuole fare 
un bilanciamento del carico oppure suddividere i dominii tra due 
server. poi pero' ignoro se squid potrebbe, basandosi sull'url, 
redirigere a nome_macchina inerrogando in dns interno alla lan.

 mandare la richiesta?
Se entrambi condividono lo stesso indirizzo ip pubblico, non lo puo'
sapere, come dice davide. Al massimo puoi mettere un "reverse proxy"
che reinstradi le richieste al server giusto.
Fabio

Davide Corrado ha scritto:

scusate se mi sono spiegato male, cmq è quella citata la situazione, alla
fine ho fatto pubblicare il nome di dominio del sito e fatto impostare il
redirect dall'ip della loro macchina al mio ip pubblico su una porta
scelta(tipo 5050), qui linux vede la richiesta a quella porta e la
forwarda alla porta 80 del mio server web.
sicuramente ci sara qualche altra soluzione ....


 redirigere a nome_macchina inerrogando in dns interno alla lan.
si credo anch io che il reverse proxy sarebbe stata la scelta piu'
opportuna, ma per una questione di velocita' ho fatto come riportato nell
altra risposta
grazie


 Per l'utente finale non dovrebbe cambiare nulla.
purtroppo cè iis...


 
ma credo che apache o squid tu li possa montare sul firewall stesso se 
proprio non hai alternative, non sara' bello, ma neppure un server IIS 
e' il massimo.

 
Anyway, se posti su it.comp.os.linux.sys, ipotizzo che uno dei due 
sistemi sia linux.
Puoi mettere quello "fuori" e iis dietro (apache con mod_proxy rigira le 
richieste HTTP).
Al limite, puoi mettere un terzo sistema con Apache che smista sui 2 
(dal momento che parli di un firewall con iptables, potresti mettere lě 
l'apache che smista) come ha, tra l'altro, suggerito anche kojak
LP

 purtroppo cè iis...
Devi utilizzare un proxy. A quanto ho capito devi installarlo e
configurarlo sul Firewall; non e' il massimo in fatto di sicurezza ma
e' pur sempre una strada percorribile.
In questo caso, poni molta attenzione alle eventuali patch di sicurezza
e configura attentamente il proxy con adeguate ACL.
Se come ho capito non gestisci direttamente te i DNS, credo dovrai
affidarti ad una risoluzione locale attraverso l'hosts sullo stesso
proxy.
Per gestire il reverse proxy hai alcune valide possibilita':
1. mod_proxy su Apache
2. squid di cui credo non siano necessarie ulteriori presentazioni
3. pound, che rispetto ai precedenti e' piu' specializzato per il tipo
di lavoro da svolgere.
POUND - Reverse-Proxy and Load Balancer
[
http://www.apsis.ch/pound/pond
]
In ogni caso e qui concludo l'idea di un reverse proxy aumenta
certamente la criticita' della struttura ma presenta comunque i suoi
vantaggi. Adeguatamente configurato ad esempio pone un primo e
importante livello di sicurezza per i server posti dietro di esso.
Ciao 
Giuseppe

Giuseppe Lucente ha scritto:
Scusa l'indirizzo corretto e':
POUND - Reverse-Proxy and Load Balancer
[
http://www.apsis.ch/pound/
]

quella che ti ho scritto io sopra

 quella che ti ho scritto io sopra
si è vero, pero' purtroppo ho solo un ip pubblico per il momento, e
comunque ho visto che il redirect su una porta scelta non è possibile
farlo, quindi adottero' la soluzione del proxy. grazie 1000


 Giuseppe Lucente ha scritto:


grazie 1000 non lo conoscevo, seguo il tuo consiglio e me lo guardo, male
che vada metto su squid.
grazie ancora.


 grazie a tutti
Ciao
	Mavimo