Корпоративный портал через Kerio Control 9

Есть корпоративный портал (сайт) на виртуальной машине внутри локальной сети. Подключение по IP адресу. Нужно, что бы к этому порталу можно было подключаться по доменному имени изнутри и снаружи через Kerio. Что то не могу сообразить как сделать, чтобы Kerio пробрасывал на эту вирт. машину по домену. Сейчас по IP и порту все работает без проблем, но нужно именно по домену.
Опыта маловато в этой области, может кто подскажет.

[Mr.Torture]

Цитата

Сообщение от DJ_Tommy

Сейчас по IP и порту все работает без проблем

А чего ещё надобно от Керио? Именно в этом его задача и есть. Все остальные твои хотелки тут к Керио отношения не имеют.

Цитата:

Сообщение от Mr.Torture

А чего ещё надобно от Керио? Именно в этом его задача и есть. Все остальные твои хотелки тут к Керио отношения не имеют

Это не мои хотелки, это руководство, будь оно не ладно.

Вот думаю как теперь их реализовать. Допустим сам домен я привяжу к внешнему IP Kerio, как объяснить Kerio куда его прокидывать?

[Mr.Torture]

Да ничего больше Керио объяснять не надо - настраивай домен и днс.

[naliman]

зеваю, скучно

[HOG]

DJ_Tommy, создать в ДНС локальном зону - заглушку, которой прописать имя корпоративного портала так, чтоб глобальное имя корпоративного портала разрешалось в локальный IP номер. И все.

[EnMan]

HOG, хм, мне кажется ты не прав. Зона заглушка не содержит ресурсных записей. В данном случае необходимо создать основную или дополнительную зону с именем совпадающим с именем корп. портала и создать в ней единственную A запись, указывающую на его адрес внутри локальной сети.

[Mr.Torture]

Создаётся зона прямого просмотра, в которой, если, кроме сайта, ничего не нужно, создаются 2 записи типа А - domain.ru - ip и [Для просмотра данной ссылки нужно зарегистрироваться] - ip.

[EnMan]

Mr.Torture,

Цитата:

Сообщение от Mr.Torture

если, кроме сайта, ничего не нужно

Это вот ключевое. Если больше ничего не нужно. Т.е. любая попытка резолвить любой поддомен в этом домене будет приводить к ошибке. Это не правильно. И если уж хочется много секаса с ручным поддержанием двух NS серверов (внутреннего и внешнего), то в зоне domain.com правильнее будет создавать CNAME записи, указывающие на внутренние имена локальной зоны, а не A записи. Ниже результат ввода nslookup в подобном случае.

PS C:\Users\ivn> nslookup webmail.iamsys.ru
Сервер:  ns-gtw02.home.iamsys.ru
Address:  192.168.22.254

Имя:     srv-nix01.home.iamsys.ru
Address:  192.168.22.95
Aliases:  webmail.iamsys.ru

К сожалению MS DNS до сих пор не умеет отдавать разные вьюшки зон (как BIND, например) исходя из адреса обращения. Вот как то так.

[tihon_one]

А что про NAT hairpin все забыли, не важно, что резолвится имя во внешний ИП, контрол достаточно умный, если верно настроить проброс, чтобы идентифицировать подключения из той же сети где и сам сервер назначения для передачи соединения напрямую между хостами, минуя внешнюю петлю.

[EnMan]

tihon_one, ого, Control умеет hairpin nat? Давно ли? В любом случае при использовании этого механизма необходимо будет указывать основной NS-кой в домене сервер Kerio Control, а он уже умеет (или мне кажется?) conditional forwarding.

Добавлено через 6 минут
tihon_one, нет, я гоню по поводу основной NS. Расскажи по hairpin nat, плиз.

Сначала вроде понял. Потом запутался еще сильнее :-)
Добавлю вводную информацию:

Домен имеет имя формата domain.local
IP внутри сети раздает Kerio Control 9
Внутри сети на Hyper-V крутится веб-сервер.
Из локалки сервер доступен по IP адресу
С Интернета идет подключение по внешнему интерфейсу Kerio путем проброса порта на IP адрес
Нужно привязать внешнее имя к этому веб-серверу формата субдомен.домен.ru
И так, что бы он был доступен как изнутри, так и снаружи по имени.

Опыта конфигурации серверов не так много, как хотелось бы, но потихоньку учусь.

[EnMan]

Форум дублит сообщения ((
__________________

[EnMan]

Все очень просто. Предположим, что имя твоего корпоративного портала corp.domain.com. Задача - всем внутренним клиентам отдать внутренний IP адрес этого имени.

Для локальных клиентов (внутренний NS сервер)
1. Открываем оснастку DNS, правый тап на зонах прямого просмотра - создать новую зону.
2. В мастере добавления зоны выбираешь тип зоны - основная зона, хранить в AD для всех DNS серверов в лесу. Имя зоны - corp.domain.com
3. Встаешь на вновь созданную зону, правый тап - добавить A запись, указываешь IP адрес своего локального сервера с корпоративным порталом. Имя не указываешь.

Теперь все внутренний клиенты, обратившись к внутреннему DNS серверу получат внутренний IP для этого имени. Все остальные поддомены домена domain.com будут резолвиться согласно правилам пересылки внешними NS. Это все.

Для внешних клиентов (внешний NS сервер)
Для внешних клиентов - идешь к администратору зоны domain.com и просишь его создать A запись для имени corp.domain.com, указывающую на внешнйй IP фаервола с Kerio Control

Добавлено через 49 секунд
naliman, Жека, форум дублит сообщения, при попытке удаления дубля - удаляет оба.
__________________

Добавлено через 21 минуту

Цитата

Сообщение от tihon_one

А что про NAT hairpin все забыли

Блин, вот сказал и пропал. А я в хлам уже задрочил и форум ваш и kb. Ни одного упоминания про loopback nat. Есть какой то лайв хак?

[exchar]

Цитата:

Сообщение от EnMan

А я в хлам уже задрочил и форум ваш... Есть какой то лайв хак?

хм, [Для просмотра данной ссылки нужно зарегистрироваться], смотрим [Для просмотра данной ссылки нужно зарегистрироваться] в первой группе:

Цитата

Source: Any (or Local Network)
Destination: the_external_known_name (i.e., example.com)
Services: HTTP/HTTPS (choose the service you need) - You can create as many rules as the number of internal servers is
IP: Any (or choose the one you need v4 or v6)
Action: Enabled
Translation: choose Destination NAT, fill in the internal IP and define the port (if it is different from the external port used)

можно впрочем и [Для просмотра данной ссылки нужно зарегистрироваться] ссылку в гугле глянуть

Цитата:

Сообщение от EnMan

и kb. Ни одного упоминания про loopback nat

бггггг, одно - [Для просмотра данной ссылки нужно зарегистрироваться]:

Цитата

Destination NAT should not be configured for outgoing rules, except under very unique circumstances.

P.S. я вот тоже до этого дня был уверен, что контрол его не умеет.

Добавлено через 12 минут
и собственно, спалились в [Для просмотра данной ссылки нужно зарегистрироваться]: фичу не ввели, но пофиксили:

Цитата

Version 9.0.1
- Fixed: Connection using NAT hairpinning was not reliable

[HOG]

EnMan, именно это я и имел ввиду. Просто назвал так, чтоб было понятнее.

P.S. У меня именно так сделано дома.

Добавлено через 3 минуты

Цитата:

Сообщение от EnMan

Форум дублит сообщения

вкурсах. Перенесемся - будем смотреть ЧЗХ.

[tihon_one]

Цитата

Сообщение от exchar

фичу не ввели, но пофиксили

её ввели ещё хз когда, даже не анонсировали, а фикс засветили, т.к. репорты были.
к слову, многие например не в курсе, что трафик контрола можно по статике заруливать не только в первый линк (при условии балансировки между двумя и более ванами) а в любой, тоже при помощи NAT, хотя тут NAT условен.