Sempolice redirect haproxy o squidreverse proxy

frankz

@ciclopeblu Non è quello che fa per me . I certificati li ho già sui server , ha proxy e pfsense non devono gestire loro i certificati .

ciclopeblu

@frankz Ma se i certificati sul singolo server sono corretti per il dominio non vedo perche' non dovrebbe funzionare. Ci sono opzioni per l' "offlloading" dei certificati, hai provato?

frankz

@ciclopeblu Ho visto che nel video fa riferimento a haproxy let'encrypt . Quello che ho chiesto e richiedo è semplice ovvero che haproxy deve solo smistare https e 80 suoi server in base all'url sorgente che in parole povere è semplice es. se da internet digito https://www.1primoserver.ddns.net la chiamat andrà al primo server e cosi a seguire senza variare alcuna porta tcp interna che rimangono per i seerver 80 e 443 . In sintesi una specie di dnat 1:1 entra https e arrviva https in base all'url .

frankz

@ciclopeblu Ciao , volevo solo farti una domanda :
A prescindere che i certificati siano sui server , diamo per scontato che pfsense deve avere almeno un certificato sel valido ? oppure quello autogenerato va bene ?

frankz

Continuo a provare ma niente da fare . Pare che il problema sia legato al DNS . Lo schema iìn allegato , mostra i server in LAN con il proprio nome fqdn .
Pfsense si occupa di registrare dai dns dinamici questi nomi , e tramite l'opzione di dns override , li ho inserirti per poterli raggiungere dalla LAN . Quindi se esempio provo a digitare https://myserver.fqdn , anche se effettivamente il suo hostname in wan è valido , tramite LAN e override dell'host lo raggiungo in LAN . Il problema si verifica che dalla wan il nome fqdn si ferma al pfsense , perchè è sempre lui stesso (1 ip 4 hostname dinamici ) . Qualcuno mi ha detto che occorre separare la gestione dei dns per haproxy , ma non so come fare !

kiokoman

@frankz
hai provato a impostare i dns su settings di haproxy?
Global DNS resolvers for haproxy
se hai registrato i domini su "dns resolver" e dici ad haproxy di usare solo quello dovrebbe perlomeno risolvere quelle macchine

frankz

@kiokoman ciao se lo schema è chiaro, come imposto i dns a cui fai riferimento? Potresti farmi un esempio? Grazie

kiokoman

@frankz
no, non capisco il problema e non mi è chiaro cosa intendi per host dinamici.

haproxy ha due sezioni, una frontend e una backend

il frontend, che è quella che si presenta e comunica coi client intercetta il nome host e reindirizza la comunicazione al server interno che hai indicato nel backend

nel backend crei il server mettendo l'ip interno della lan, se vuoi usare il home host interno della lan sul backend devi assicurarti che dns resolver lo riconosca e dire a haproxy di usare 127.0.0.1 come unico dns server

un altro errore comune è quella di fare un port forward sul firewall invece che aprire semplicemente la porta con destinazione "this firewall"

frankz

@kiokoman Innanzitutto grazie per aver risposto . Quindi per il dns metto 127.0.0.1 nelle global entry del dns ( e porta 53 ) ?

frankz

@kiokoman Comunque ho fatto una prova con un server zabbix nella rete e funziona , ma lo raggiungo senza il suo nome di fqdn e riscritto da dnsresolver del dominio reale .
Esempio funzionante :
backend
active
zabbix
Address+Port:
192.168.3.197
80
no
no

frontend wan 4381 no ssl
ACL zabbix
Host matches:
primoserver.ddns.net
Use Backend
See below
zabbix

Questa configurazione funziona , ma quello che desidero e raggiungere gli altri 4 server di un cluster , e in configurazione virtualhost .
quindi il cluster solo 1 ip ha 4 server definiti come virtualhost . Ho inserito come nomi di virtualhost i ddns che ho a disposizione , quindi come scritta dall'esempio se cambio l'ip del backend e da internet digito http://primoserver.ddns.net:4381 non funziona in quanto pfsense gestisci lui i ddns e malgrado il dns resolver override punta sul quel nome con ip interno , quindi accessibile anche dalla lan .
So che sembra articolato , ma l'unico modo per il quale cerco di farti capire è questo diversamente dovrei parlartene , ma ciò potrebbe considerarsi invadenza .

frankz

Ho trovato questo vecchio post che descrive la mia realtà . Ma è vecchio e incompleto . Inoltre basato su workarround

https://forum.netgate.com/post/124464