DynDNS Adressen auf verschieden interne IPs umleiten

ITZocker

Hallo zusammen, ich versuche seit geraumer Zeit meine beiden DynDNS Adresse auf zwei interne IPs umzuleiten.
Das funktioniert auf im Heimnetzwerk ganz gut.
Itzocker.myftp.biz auf 192.168.178.6
Itzocker.ddns.net auf 192.168.178.5
Aber wenn ich von außerhalb auf die Domains zugreife dann lande ich immer auf 192.168.178.6.
Da habe ich irgendwas falsch gemacht bzw übersehen, hat jemand eine Idee

Mein Aufbau ist ziemlich simple; Telekom - Vigor 165 (im Bridge Mod) -pfsense (2.4.4-RELEASE-p3).
Das habe ich eingestellt:

nonick

@ITZocker
Das funktioniert so nicht. Deine Portweiterleitung kann keine Domains unterscheiden, sondern nur Ports. Nutzt du auf dem WAN Interface für beide Domains den gleichen Zielport, dann kann der Router nicht wissen, welcher interne Server + NAT Port gemeint ist. Intern ist das kein Problem, da durch die DNS Überschreibung die jeweilige Domain mit der internen Server IP-Adresse verknüpft ist. Dadurch ist eine Unterscheidung möglich und man kann das gleiche Zielport benutzen.

Es gibt nur zwei Möglichkeiten. Entweder du nutzt für den externen Zugriff die Portweiterleitung mit unterschiedlichen Zielports, oder du nutzt den HAProxy. Dieser kann Domains unterscheiden und die Anfrage dem jeweiligen internen Server zuordnen.

ITZocker

Danke für deine Antwort. Das hätte ich nicht gedacht das, dass nicht geht. Mann lernt halt nie aus.
Welche Lösung würde du denn empfehlen? Du scheinst mit dem Thema vertraut zu sein.

nonick

Die Portweiterleitung mit unterschiedlichen Zielports ist die einfachste Lösung. Der Nachteil, man muss das Port beim Aufruf der Adresse mit angeben. Erfolgt der Zugriff z.B. auf HTTPS Webserver, dann sehen die Adressen folgendermaßen aus https://example-1.com:444/ (für Port 444) und https://example-2.com/ (für Port 443).

Der HAProxy ist die professionellere Lösung. Da können beide Adressen ohne Zielport aufgerufen werden, da der HAProxy die aufgerufenen Domains unterscheiden kann. Der Nachteil, es funktioniert nicht mit jedem Protokoll und die Konfiguration ist bedeutend aufwendiger.

JeGr

@nonick said in DynDNS Adressen auf verschieden interne IPs umleiten:

Der Nachteil, es funktioniert nicht mit jedem Protokoll und die Konfiguration ist bedeutend aufwendiger.

Da HAproxy auch andere TCP Ports problemlos weiterleiten kann (bspw. SSH) stimmt der Teil mit dem "nicht jedes Protokoll" nur partiell. Im Prinzip könnte er schon nahezu jedes Protokoll mit simplem tcp-balancing weiterleiten. Dass UDP oder andere L3 Protokolle ein Problem darstellen können, stimmt jedoch.

Zu Konfiguration bedeutend aufwendiger: Jein. Die Optionen sind weitaus vielfältiger, das ist korrekt und verglichen mit einer simplen Portweiterleitung - ja, absolut. Allerdings ist gerade das "multi-domain-via-single-IP" Szenario bspw. mit einem einfachen Template bereits vorhanden (nach Installation von HAproxy unter dem Reiter "Templates" direkt der erste Punkt). Zu finden als "Serving multiple domains from 1 frontend" (ein Frontend, da nur eine externe IP vorhanden). Mit ein wenig einlesen, das Template genau anschauen und ausprobieren, sollte das Einrichten dann eigentlich nicht das riesige Problem sein.

Zudem kann mit HAproxy und in Verbindung mit dem ACME package dann sogar LetsEncrypt für SSL Zertifikate verwendet werden.

@ITZocker said in DynDNS Adressen auf verschieden interne IPs umleiten:

Danke für deine Antwort. Das hätte ich nicht gedacht das, dass nicht geht. Mann lernt halt nie aus.

Warum nicht gedacht? Du lässt zwei völlig unterschiedliche Domains auf die exakt gleiche IP zeigen. Einem Router/Firewall ist DNS aber erstmal völlig egal. Netzwerkgeräte arbeiten nicht mit DNS (normalerweise), DNS wurde nur für uns "dumme Menschen" geschaffen, damit wir uns keine endlosen Zahlen merken müssen ;) Und wenn du ein Dutzend Domains auf die gleiche IP zeigen lässt, bleibt es immer noch eine IP. Und eine IP kann einen Port nun rein logisch betrachtet eben nicht einfach mal hier und mal dorthin weiterleiten, da im TCP Paket keinerlei Info dazu drinsteht, warum und wohin das soll. Auf IP Layer (2/3) ist der Kram der da ankommt also erstmal völlig gleich - erst auf den höheren logischen Schichten im Inhalt des Pakets steht dann überhaupt etwas von der Info, dass da versuchst domain1.tld oder domain2.tld aufzurufen. Daher klappt das nur mit Proxy dazwischen, der deine Pakete soweit zusammensetzt, dass er die Info lesen und daraufhin entscheiden kann, wohin er es delegieren soll.

Grüße

nonick

Hi Jens, ja das mit der bedeutend aufwändigeren Konfiguration des HAProxys bezog sich auf die simple Portweiterleitung. Die kann auch ein Laie einfach erstellen. Dagegen muss man sich mit dem HAProxy schon etwas auseinandersetzen und die Konfiguration dauert etwas länger. Ich habe den Zugriff schon seit Jahren auf mehrere Domains damit realisiert. Ich kenne aber Beispiele, die es nicht hinbekommen haben.

Das mit den Protokollen habe ich nur sicherheitshalber erwähnt, da es doch passieren kann, dass man nicht alles damit realisieren kann. Ich habe einen Openfire XMPP Server, da funktioniert der HAProxy selbst mit dem TCP Protokoll nicht.