Какое правило добавить для доступа к nginx в LAN ?
-
Всем привет!
Какая-то затыка возникла у меня... Есть pfsense с белым IP от провайдера, никакого моста нет.
За pfsense стоит ubuntu с поднятым nginx на 80 порту.
В NAT pfSense прописано 80 и 443 порты для доступа к nginx. Сайты открываются, все ок.
Но из LAN нет доступа к этим сайтам, хотя пинг идет.
Не могу сообразить, какое правило нужно еще прописать?! Помогите плз! -
@maxyca здр
А как Вы из lan обращаетесь к этим серверам? По доменному имени? По внешнему ip? По внутреннему ip?
Моё предположение - ассиметричная маршрутизация. -
@maxyca
- Изменить порты вебки со стандартных 80 и 443 на нестандартные
- А на кой ляд вы из ЛАН к ВАН обращаетесь? Зачем вам петля? Настройте Split DNS на пф и радуйтесь.
-
@Konstanti По доменному имени. А по-подробнее как это реализовать??
-
- Тоже так думал, но пока нет такой возможности.
- Юзеры на собственный сайт заходят из LAN.
-
Я тут подумал и решил прописать такое правило:
С ним все работает, т.е. из локалки юзверь заходит на свои сайты, которые находятся на Ubuntu в нашей же локалке и все ок.
Надеюсь правильно сделал :) Гуру, поправьте плз, если что.. -
@maxyca
Хм. Костыль, но работает ) Однако, лучше так не делать.Юзеры на собственный сайт заходят из LAN.
Повторюсь.
Если сайт имеет РЕАЛЬНОЕ внешнее имя, то или руками файл hosts править на клиентах или настроить ОДИН раз Split DNS на пф.Ps. Мой вам совет. Не пользуйте сети 192.168.0|1.0 в продакшене.
-
Тогда уж:
-
@werter said in Какое правило добавить для доступа к nginx в LAN ?:
Split DNS
А как этого зверя настроить? У нас речь просто про 30 человек идет и пару десятков сайтов своих)) Просто не хотелось с hosts возиться, к тому же после перестановки системы и пр..потом снова делать, вспоминать. Один раз хочется настроить и все :)
-
@maxyca Split DNS - это просто DNS сервер внутри Вашей сети , где будет настроен Ваш домен с нужной Вам адресацией
Те , например ,при обращении к внешнему DNS серверу с доменом maxyca.ru - ответ будет ВАШ_ВНЕШНИЙ_БЕЛЫЙ_IP
а при обращении к Вашему внутреннему DNS maxyca.ru - ответ локальный_ip_сервера -
@maxyca
Split DNS умеет dns resolver на пф.
Особенно если принудительно завернуть все днс-запросы от лан-клиентов на его локальный ip. Что еще и крайне полезно в плане нетворк секурити. -
@werter Буду очень признателен, если скриншот правила на образец сделаете :)
-
@maxyca
Попробуйте вариант по моему скрину выше. Это не Сплит ДНС, но работать будет. -
@werter Попробую, отпишусь. Только я не совсем уловил разницу между своим вариантом и этим?
Для списка сайта я тогда алиас сделаю, чтобы кучу правил не городить. -
Алиас - эт хорошо. Только вы туда адреса и site.name и www.site.name вносите.
И для портов 80 и 443 - тоже алиас, чтобы правила не плодить. Имя алиаса www_ports подойдет )
-
@werter В DNS Resolver в поле Domain Overrides заносить домены для split dns?
Сорри за офф, но у меня проблема случилась со включенным dns resolver. За pfsense стоит еще Asterisk и resolver блокировал пакеты на исходящие вызовы, т.к. asterisk заворачивал исходящие звонки. Его можно в исключения будет добавить?
-
@maxyca said in Какое правило добавить для доступа к nginx в LAN ?:
В DNS Resolver в поле Domain Overrides заносить домены для split dns?
Там внимательно надо и смотреть по ситуации. Если у вас в сети есть собственный ДНС-сервер, то нужно в настройках резольвера на пф указать, что такой-то домен обслуживает такой-то ДНС-сервер с таким-то IP.
Главное условие, чтобы пф выступал в роли ДНС-сервера для клиентов, т.е. его ip был 1-ым в сетевых настройках клиентов. Хорошо бы все ДНС-запросы клиентов заворачивать на ЛАН-адрес пф. Это не сложно сделать с пом. правила Port Forwd на ЛАН.и resolver блокировал пакеты на исходящие вызовы
Причем тут резольвер?
-
@werter said in Какое правило добавить для доступа к nginx в LAN ?:
Причем тут резольвер?
Методом исключения выявил. Со включенным dns resolver блокировались исходящие вызовы на asterisk. Есть подозрения, что пакеты блокировал. Пока вернул forwarder, все стало норм. Буду копать... -
@maxyca
Не надо форвардер (dnsmasq) без надобности пользовать. Не зря резольвер вкл. по умолч. Попробуйте разобраться. -
Здравствуйте!
Скорее всего, ваш сайт конфликтует с веб-интерфесом роутера. Поменяйте порт веб-интерфейса на 8080 и проверьте заново.
