Zugriff auf internen Webserver aus dem Internet via Reverse Proxy

Es gibt 62 Antworten in diesem Thema, welches 2.502 mal aufgerufen wurde. Der letzte Beitrag () ist von jkasten.

    Hallo,


    im Unifi-Controller sind im Anschlussweiterleitung die Ports 80 und 443 auf einen internen Reverse Proxy weitergeleitet worden.


    443, 80 -> [IP Reverse Proxy]


    Innerhalb des Reverse Proxies wird auf weitere statische IP-Adressen der jeweiligen Webserver verwiesen.


    In den "Traffic & Firewall Regeln" sind folgende Regeln erstellt worden:


    1. Regel:

    Name: Zugriff auf Webserver

    Aktion: Akzeptieren

    Typ: LAN In

    Protokoll: Alle

    Quelle: Beliebig

    Anschluss: Beliebig

    Ziel: [IP Reverse Proxy]

    Anschluss: Beliebig


    2. Regel:

    Name: Reverse Proxy zu Webservices

    Aktion: Akzeptieren

    Typ: LAN Lokal

    Protokoll: Alle

    Quelle: [IP Reverse Proxy]

    Anschluss: Beliebig

    Ziel: [IPs Webservices]

    Anschluss: Beliebig



    3. Regel:

    Name: Rückkehr von Webservices

    Aktion: Akzeptieren

    Typ: LAN Lokal

    Protokoll: Alle

    Quelle: [IPs Webservices]

    Anschluss: Beliebig

    Ziel: [IP Reverse Proxy]

    Anschluss: Beliebig


    Alle Regeln sind an oberster Stelle in den Listen der "Traffic & Firewall Regeln" platziert worden, damit keine DROP-Regel zuvor kommen kann.


    Im ursprünglichen Thema RE: Unifi Controller Update wurde darauf hingewiesen, dass eventuell kein Split DNS eingerichtet sei.


    Aus dem Lokalen LAN funktioniert ein Zugriff auf die Webservices fehlerfrei, wenn z.B. im Windows Client in der hosts Datei die Domain auf die IP-Adresse des Reverse Proxies eingetragen wird.


    Ansonsten wird beim Zugriff auf die Webservices aus dem Internet im Browser die Fehlermeldung angezeigt: ERR_CONNECTION_TIME_OUT


    Da alle Weiterleitungen mit festen statischen IPs erfolgt, sollte kein Split-DNS nötig sein. Die letzten 7 Jahre hat ein Zugriff aus dem Internet ohne Split-DNS fehlerfrei gut funktioniert. :thinking_face:

    Einmal editiert, zuletzt von Ben2003 () aus folgendem Grund: Hinweis auf hosts-Datei im Windows-Client.

    Du kannst anfangen auf der UDM und oder dem Proxy mit einem TcpDump zum schauen ob was kommt und wieder zurückkommt.

    um einzugrenzen ob die UDM doof ist, oder ne config auf dem proxy oder dem ziel Server.


    Aus dem Bauch geschossen, externe Weiterleitung auf den Proxy geht nicht.

    Weil z.B "Remote Direct access" an ist..

    Also,


    wenn Du eine Anschlussweiterleitung (Port-Forward) einrichtest, wird eigentlich automatisch eine Firewall-Regel unter Internet In (zu LAN) eingerichtet.


    Und eine Regel vom Webserver zum Reverse Proxy braucht es m.E. auch nicht, weil keine spontane Kommunikation durch den Webserver in Richtung Proxy stattfindet.


    Insofern würde ich die 1 und 3 Regel entfernen, die Anschlussweiterleitung neu aufsetzen (um die Regeln zu erneuern) und gucken, ob Du bis zum Proxy kommst.

    Zitat von Ben2003

    Aus dem Lokalen LAN funktioniert ein Zugriff auf die Webservices fehlerfrei, wenn z.B. im Windows Client in der hosts Datei die Domain auf die IP-Adresse des Reverse Proxies eingetragen wird.


    Ansonsten wird beim Zugriff auf die Webservices aus dem Internet im Browser die Fehlermeldung angezeigt: ERR_CONNECTION_TIME_OUT

    Das ist das was ich im anderen Thread schon sagte... Richte auf deinem DNS Split-DNS ein oder auf jedem Client die Hosts Datei.

  • razor

    Hat den Titel des Themas von „Zugriff auf internen Webserver aus dem Internet via internen Response Proxy“ zu „Zugriff auf internen Webserver aus dem Internet via Reverse Proxy“ geändert.
    Zitat von jkasten

    Richte auf deinem DNS Split-DNS ein oder auf jedem Client die Hosts Datei.

    Da ich mich mit der Materie nicht auskenne muss ich mich erst sachkundig machen, we man den DNS-Split einstellen kann.


    Auf anderen Webseiten habe ich erfahren, dass Unifi UDM Pro kein DNS-Split unterstützt.


    Eine andere Lösung wäre es, auf einem Synology NAS mit DSM7 den DNS-Split einzurichten. DMS7 unterstützt sogar eine Split-Funktion direkt. Nur müsste man dann die DSM Server auf dem Unifi UDM Pro anpassen.

    Zitat von maxim.webster

    Im Network Controller (auf einer Dream Machine Pro) kann man unter https://unifi/network/default/settings/routing/dns DNS Einträge setzen. Ich nutze das, um Dienste die über eine URL von außen erreichbar sind, aber in meinem Keller gehostet werden beim Zugriff aus dem LAN auf die interne IP umzuleiten.


    Ist das "Split-DNS"?

    Ja korrekt. Wenn deine UDM den DNS macht, kann man das so einrichten.

    Korrekt

    Zitat von Ben2003

    Ist damit diese Maske gemeint?

    Eigentlich solltest Du den Link klicken können, dann weißt Du auch gleich, ob Unifi für Dich DNS macht :winking_face:



    Zitat von Ben2003

    Im Feld Domain-Name muss der vollständige Domain-Name der Webseite eingetragen werden?

    Und im Feld IP muss die interne IP-Adresse des Proxies eingetragen werden?

    Entweder das oder Du trägst den FQDN beim Proxy (unter "Clients") selber ein. Der Eintrag erscheint dann auch in obiger Ansicht.

    Zitat von maxim.webster

    Eigentlich solltest Du den Link klicken können, dann weißt Du auch gleich, ob Unifi für Dich DNS macht

    Den Link habe ich versucht zu öffnen. Dieser hat jedoch nicht funktioniert.



    Der Browser kann den Namen "unifi" nicht zur IP-Adresse vom UDM auflösen. Die Namensauflösung im Lokalen Netzwerk scheitert schon seit vielen Jahren. Ich habe es irgendwann entnervt aufgegeben und mir angewöhnt, nur noch mit IP-Adressen zu hantieren. :grinning_squinting_face:

    Einmal editiert, zuletzt von Ben2003 ()

    Mittlerweile scheinen die ersten Domains zu internen Webservern wieder zu funktionieren.


    Ich kann jedoch nicht testen, ob ein Zugriff aus dem Internet funktioniert, da der Mobilfunkempfang im Dorf so schlecht ist, dass nicht mal ein Punkt in der Empfangsstärke für Mobilfunk angezeigt wird. Im Hause kann somit nur via WLAN auf Internet Services zugegriffen werden.


    Im UDM sind mehrere WLAN-Netze. Derzeit sind die Webservices nur in einem WLAN-Netz erreichbar. In den anderen WLAN-Netzen kann die Domain nicht aufgelöst werden. In den anderen WLAN-Netzen wird zum Teil auf PiHole als DNS-Server verwiesen. In den Netzwerk-Einstellungen ist in den DNS-Einstellungen an erster Stelle PiHole und an zweiter Stelle der DNS-Server für das entsprechende Netzwerk eingetragen.

    2 Mal editiert, zuletzt von Ben2003 ()

    Zitat von Ben2003

    Im UDM sind mehrere WLAN-Netze. Derzeit sind die Webservices nur in einem WLAN-Netz erreichbar. In den anderen WLAN-Netzen kann die Domain nicht aufgelöst werden. In den anderen WLAN-Netzen wird zum Teil auf PiHole als DNS-Server verwiesen. In den Netzwerk-Einstellungen ist in den DNS-Einstellungen an erster Stelle PiHole und an zweiter Stelle der DNS-Server für das entsprechende Netzwerk eingetragen.

    Hol nochmal bitte tief Luft, versuch dich zu zentrieren und beschreib uns mal wie dein DNS aufgebaut ist und was du gern möchtest!

    ⢀⣴⠾⠻⢶⣦⠀ Debian - The universal operating system user
    ⣾⠁⢠⠒⠀⣿⡁ https://www.debian.org
    ⢿⡄⠘⠷⠚⠋⠀
    ⠈⠳⣄⠀

    :right_arrow: Dumme Gedanken hat jeder, nur der Weise verschweigt sie. (Wilhelm Busch) :left_arrow:

    Sorry für meine unklaren Infos. Ich stehe etwas unter Zeitdruck, da andere auf die Webservices angewiesen sind und mir die Zeit davon läuft.


    Vom Internet aus sind die Webservices über über die Domainnamen nach wie vor nicht erreichbar. Welche Fehlermeldung genau angezeigt wird, kann ich noch nicht ermitteln, da ich noch keinen Proxy oder ähnliches eingerichtet habe, mit dem ein Zugriff aus dem Internet simuliert werden kann.

    Naja, wenn es „von innen“ funktioniert, aber von außen nicht, dann

    - kommt was mit hostname not found, wenn der public DNS nicht stimmt

    - connection refused oder timeout, wenn das Routing nicht stimmt oder die Firewall dicht ist.


    Du kannst ja gerne mal den externen Hostnamen preisgeben, dann können wir Dir Rückmeldung geben.

    Ein Freund hat mir eine SSH-Zugang zu einem seiner Testsysteme gegeben.


    Wenn auf diesem ein wget-Befehl auf eine Domain ausgeführt wird, kommt die Fehlermeldung , dass die Domainname nicht aufgelöst werden kann. Eine andere Domainname konnte mit der richtigen IP-Adresse aufgelöst werden, jedoch konnte nichts heruntergeladen werden. Parallel lief tcpdump auf dem Reverse Proxy. Hier kamen keine Anfragen an.


    Auf die UDM ist unter SSH ein Benutzername & Passwort angegeben worden. Dennoch wird der Port 22 auf der UDM nicht geöffnet. Daher kann kein tcpdump auf der UDM ausgeführt werden.


    In der "Firewall & Traffic" wurden alle eigenen Regeln entfernt und nur eine Regel mit dem Typ "Internet in" der Aktion "Zugelassen" und dem Ziel zum "Reverse Proxy" erstellt.


    Dennoch kommt keine Anfrage aus dem Internet beim Reverse Proxy an. tcpdump zeigt auch keine Anfragen an, die von außerhalb ankommen sollten.


    Unter den Portweiterleitungen sind nur noch die Ports 80 und 443 auf dem Reverse Proxy vorhanden und aktiviert.

    Wenn von extern die Domain nicht aufgelöst werden kann, musst du bei deinem Anbieter gucken ob die überhaupt existiert.

    Zitat von Ben2003

    kommt die Fehlermeldung , dass die Domainname nicht aufgelöst werden kann.

    Wohl dann falsche Zuordnung oder nicht vorhanden.

    Zitat von Ben2003

    . Parallel lief tcpdump auf dem Reverse Proxy. Hier kamen keine Anfragen an.

    Nun, dann wohl keine Weiterleitung vorhanden die Funktioniert.


    Zitat von Ben2003

    In der "Firewall & Traffic" wurden alle eigenen Regeln entfernt und nur eine Regel mit dem Typ "Internet in" der Aktion "Zugelassen" und dem Ziel zum "Reverse Proxy" erstellt.

    Unnötig, wenn da nicht noch andere eigne Reglen sind, Unifi erstellt selber ne Reglen.

    Und ? "direct remote access" an (Console Settings)?


    Zitat von Ben2003

    Auf die UDM ist unter SSH ein Benutzername & Passwort angegeben worden. Dennoch wird der Port 22 auf der UDM nicht geöffnet. Daher kann kein tcpdump auf der UDM ausgeführt werden.

    Falsche Stelle.. SSH auf der UDM ist in den Konsolen einstellungen.

    Benutzername ist root Passwort wird da gesetzt...