[Reverse proxy naar lan]

[g4wx3]

Puur voor hobby ben ikaan het experimenteren geweest met dns. ik ben helemaal niet thuis in deze materie, maar heb een hoop zoekwerk gedaan ivm dns en alles wat ermee te maken heeft.

Mijn bedoeling was om via het internet op eenvoudige en eenduidige manier een verbinding te maken met de verschillende apparaten op mijn lokaal netwerk.
De manier om de verschillende apparaten te bereiken met NAT werkt niet handig omdat nieuwe poorten telkens opnieuw moesten worden ingegeven, en voor overlappende poorten steeds iets een andere poort voor moest worden verzonnen.

om het nu eenduidig te maken, wilde ik mijn apparaten rechtstreeks bereiken op deze manier.
timecapsule.example.com
voip.example.com
macserver.example.com

Ik heb dus via dyndns.com een domein gekocht en een custom dns packet.
mijn timecapsule die dienst doet als router/PPPoE modem heb ik ingesteld om het dynamisch ip-adres te updaten.

Tot daar is alles mij gelukt.

Omdat ik de verschillende toestellen wil bereiken via mijn domein, heb ik dus A-records gemaakt op mijn macmini server die verwijzen naar het lokale adres. Daarnaast heb ik dyndns heb ik zover gekregen om mijn dns server te gebruiken.
Achteraf is het logisch dat het niet werkt. Mijn dns server geeft bij een lookup locale adressen waar ik niks aan het als ik in een ander subnet zit ergens op internet.

Na wat opzoekingswerk en veel lezen heb ik nu de reverse proxy gevonden op internet.
Met deze methode kan ik dus ieder apparaat bereiken in mijn netwerk, via het grote internet.
Nu vraag ik me af hoe ik zoiets kan configuren zonder mijn client zelf aan te passen.

Ik veronderstel het volgende schema:

ik zoek printer.example.com
mijn computer komt uit bij dyndns, welke zegt dat ik moet gaan via mijn reverse proxy op mijn ip-adres
mijn computer komt uit op mijn ip-adres bij mijn reverse proxy-server, en vraagt aan de server naar printer.example.com
Mijn server kijkt dan naar zijn eigen dns server, en ziet dat printer.example.com ip 192.168.240.4 heeft.
Mijn server maakt verbinding met dit apparaat, en stuurt de gegevens door naar mijn computer

De grootste vraagtekens heb ik natuurlijk bij de eerste stap. welke DNS entry moet ik maken.
Daarnaast, hoe stel ik OS X server hiermee samen te werken. Ik vind heel veel informatie en door de bos zie ik de bomen niet meer.

Misschien is het gewoon totaal niet mogelijk, en dan begrijp ik waarom dat IPv6 inderdaad nu hoodringend wordt.

Mijn macmini server draait OS X server 10.6, Mijn internet is van belgacom, ik krijg een dynamisch ip adres, de modem staat in bridge met de timecapsule erachter, welke de PPP gegevens bevat.
Mijn domein is geregistreerd bij dyndns, en mijn ip adres word dus perfect geupdates. In de DNS records heb ik aangegeven dat *.example.com een CNAME is voor example.com. dus alles wordt naar mijn server gerouted, welke in DMZ staat op mijn Timecapsule.
Op dit moment heb ik geen andere relevante instelling te vermelden vermoed ik.

Gelieve mijn topic niet meteen te sluiten als er informatie onbreekt, ik ben niet bekend met het onderwerp, ik probeer zo volledig en zo duidelijk mogelijk te zijn, maar ik ken de terminologie niet en weet ook niet wat relevant is en wat niet in dit kader.

[arjants]

DNS is puur het verwijzen naar jou externe ip.
Het lost niet het overlappen van de dubbele poorten op.
De router blijft dus je bottlenek voor het bereiken van je interne apparaten.
Dit is eventueel op te lossen door de apparaten via andere poorten te NATten

Welke router heb je op dit moment?

[CodeCaster]

Het probleem is dat DNS en poorten los van elkaar staan. Je kunt bij wijze van spreken wel tienduizend verschillende hostnames naar jouw thuis-ip laten verwijzen, maar dat komt nog altijd op hetzelfde externe IP-adres terecht.

Er zijn maar weinig protocollen die wel gebruik van maken van de opgevraagde DNS-naam. HTTP is er een die dat wel doet, namelijk met virtual hosts (de host-header, die dus kijkt naar welke dns-naam is opgevraagd, waardoor er in principe oneindig veel websites vanaf één IP op poort 80 geserveerd kunnen worden, maar dat wordt dan ook expliciet door de client (je browser) verstuurd). Je modem heeft daar niks mee te maken, die ziet enkel een aanvraag binnenkomen op zijn externe IP, en stuurt de aanvraag door naar de opgevraagde poort op een intern IP, wanneer deze port is geforward. Is dat HTTP, dan gaat het naar poort 80, is het SMTP dan gaat het naar poort 25, et cetera et cetera.

Port forwarding is hier dus wél de meest eenvoudige, en waarschijnlijk de enige mogelijke oplossing. Als jij van buitenaf je printer wil benaderen met om het even welk protocol, dan tik jij dus printer.example.com in in je printclient. Prima, dat resolved naar jouw externe IP-adres. Stel dat het printprotocol poort 1000 gebruikt, dan maakt jouw client verbinding met het geresolvde IP op poort 1000. Dan gaat jouw modem kijken of deze poort naar binnen toe open staat, en zo ja, naar welk interne IP dat verzoek moet. Wanneer het printprotocol niets doet met de DNS-informatie, dan is de informatie over de opgevraagde hostnaam op dat moment gewoon verloren, en aan de "binnenkant" (dus achter je modem/router) ook niet meer op te vragen of te gebruiken.

Protocollen en poorten staan dus (meestal) totaal los van welke hostname is gebruikt, want mail.example.com verwijst evengoed naar hetzelfde IP en kan dus net zo goed worden gebruikt om te printen, zolang de bewuste poort maar is geforward naar je printer.

[Voor 22% gewijzigd door CodeCaster op 24-06-2011 01:24]

[Tsurany]

Inderdaad, zo draait het bij mij ook. Ik heb allerlei zaken zoals rdp.mijndomein.nl en vpn.mijndomein.nl maar uiteindelijk verwijst dit gewoon allemaal naar mijn dyndns adres toe die vervolgens weer naar mijn ip aders verwijst. Alle applicaties met een webbased interface zoals sabnzbd en sickbeard werken wel prima doordat ik met apache gebruik maak van vhosts en reverse proxy. Als hij herkend dat sabnzbd.mijndomein.nl is ingetypt gaat hij automatisch naar de sabnzbd pagina. En dat geld natuurlijk ook voor de overige webapplicaties.
Enig probleem is dat zoiets niet werkt voor andere zaken. Ik zou graag zien dat mijn RDP verbinding enkel te bereiken is als daadwerkelijk rpd.mijndomein.nl is gebruikt en dat rdp.mijndomein.nl ook niet voor andere zaken zoals http verkeer te gebruiken is. Dat is echter niet mogelijk (hoewel apache standaard alles wat geen regel heeft naar een index.html stuurt waar enkel in plain text denied in staat.

[g4wx3]

@arjants de modem die ik gebruik is een bbox van belgacom, dit is een kreubele philips. Voorheen stond er een een linksys, maar heb deze verwisseld om belgacomtv te proberen (ondertussen afgeschaft)
de modem staat echter in bridge, en heeft geen IP adres. Mij timecapsule heeft het ADSL wachtwoord, en deze is eigenlijk dus de modem/router. omdat dit wel fijn werkt heb ik dit zo gelaten.

als ik het zo begrijp, dan is er dus geen oplossing, zonder te rommelen met poorten.
Ik ga sowiso nog niet opgeven, als ik een oplossing vind laat ik het zeker weten.

*vhost (of virtual host) voor het http protocol zijn inderdaad makkelijk aan te maken in os x server in serveradmin bij 'web'. dit is soort reverse proxy moet lukken met alle protocollen aan de hanf van squid denk ik.