HTTPS работает извне, а внутри - нет

[delphin]

Добрый день!

Поясню. Kerio 7.4.2. Настроено правило:
Любой - внеш. IP - HTTPS - разрешить - NAT внутр. IP

Пользователи извне заходят на сайт по внешнему IP. Внутри сети зайти по этому внешнему IP не получается, нет доступа. Можно только по внутреннему. Как сделать, чтобы можно было по внешнему IP изнутри заходить? Выход вовне по HTTPS разрешен.

[rion_nagel]

DNS DNS dns ДНс ДнС ндс ДНс!!!!

[delphin]

rion_nagel, прошу подробнее.

Раньше все было сделано иначе. На сервере с внутренним IP был подключен второй интерфейс, на котором был настроен внешний IP. Трафик шел напрямую из инета. Тогда внутри сети все работало. Когда же трафик пошел через Kerio, внешний IP стал недоступен изнутри.

Поскольку данный внешний IP - это один из IP адресов самого шлюза с Kerio, я думаю, что дело может быть в том, что Kerio использует службу HTTPS для своих нужд внутри сети (например, авторизация), и MAP на нужный IP не работает. Это может быть так?

[rion_nagel]

а чё подробней? а-запись захерачить, делов-то.

[naliman]

delphin, на веб-ресурс ходят по имени?
уверен - да
для "интернетов" - своё имя и своё IP
поскольку сайт физически находится внутри локалки, то для пользователей той же локалки его имя должно соответствовать уже локальному IP

зона на локальном ДНС поможет отцу русской демократии

а если пытаться сделать как вы хотите - то получится примерно следующая картина:

квартира - локалка
входная дверь в квартире - шлюз
в квартире находится "ресурс" - туалет

"внешние" пользователи туалета для входа в него - используют входную в квартиру дверь, что понятно и логично
но попробуйте мне обстоятельно объяснить - ЗАЧЕМ????? тем, кто находится внутри квартиры ходить в туалет через входную в квартиру дверь?
то етсь что б зайти в тубзик - надо выйти из квартиры на лестничную площадку, потом вернуться в квартиру и после посетить уборную.
где логика?

[delphin]

rion_nagel, naliman, четкий ответ, спасибо!

На сайт ходят только по IP, так нужно. Я понимаю, что внутренним можно и нужно ходить по внутреннему адресу. Возможность ходить по внешнему нужна только для проверки, что он работает. Чтобы показать начальству в любой момент, что сайт функционирует, а в строке адреса тот самый внешний IP.

В DNS прописан локальный IP для сервера с сайтом. Нужно сделать еще одну А-запись с внешним IP? Все верно?

[naliman]

Цитата

Сообщение от delphin

Нужно сделать еще одну А-запись с внешним IP? Все верно?

что бы показать работает ли снаружи - надо и самому быть снаружи
например использовать телефон или планшетник с подключением по gprs\3g\4g

[antivirdog]

ДНС кстати мона практически за бесценок взять у dynDNS у роутеров типа d-link вродь даже холявы. И кстати Apache ты разрешил к примеру в Кериве, а nginx? Ибо один только статику обрабатывает, ну а другой динамику, плюс еще 3306 порт для доступа из вне каким-нить sqlyog? Или все крутится на IIS и к БД через phpmyadmin?

[delphin]

naliman, сам я могу и с планшета проверить, убедиться, что все ОК. А для начальства нагляднее открыть ссылку в браузере с внешним адресом, чем объяснять, почему доступ в туалет не должен проходить через входную дверь

antivirdog, для наших нужд достаточно HTTPS.

[Valery12]

Цитата

Сообщение от delphin

naliman, сам я могу и с планшета проверить, убедиться, что все ОК. А для начальства нагляднее открыть ссылку в браузере с внешним адресом, чем объяснять, почему доступ в туалет не должен проходить через входную дверь

есть способ но совершенно не феншуйный
делается правило
IP начальства -> внешний IP -> HTTP, HTTPS -> разрешить -> NAT + MAP (внутренний IP нужного ресурса)
и поместить его раньше правила "локальный трафик"

[delphin]

Valery12, так вот оно что! У меня правило локального трафика стояло в самом верху и перебивало мое HTTPS-ное. Переставил последнее наверх, и теперь все работает. Спасибо!

А если не только IP начальства, а вообще всем разрешить это перенаправление, это плохо?

[Valery12]

Цитата

Сообщение от delphin

А если не только IP начальства, а вообще всем разрешить это перенаправление, это плохо?

скорее всего не будет работать кериевская консоль администрирования - там тоже HTTPS используется