| {{Button|time|dr}} || || {{#var:time--desc}}{{Einblenden|{{#var:Days of the Week}}|{{#var:hide}}|dezent|true}}{{#var:Days of the Week--desc}}</div></span>
Mit einem Reverse-Proxy kann man aus dem Internet heraus, den Zugriff auf die "internen" Webserver steuern. Im Gegensatz zu einer Portweiterleitung, können über den Reverse-Proxy dedizierte Filterregeln erstellt werden. Zudem können, bei nur einer öffentlichen IP-Adresse, mehrere interne Webserver anhand der Domäne angesprochen werden.
Ein weiteres Highlight bietet das Load-Balancing. Server können zu Gruppen zusammen gefasst werden, auf die die Anfragen dann mit dem gewählten Algorithmus (z.B. Round-Robin) verteilt werden.
Voraussetzungen
Für die Beispielkonfiguration werden folgende Werte angenommen:
Webserver mit der privaten IP: 10.1.0.150
Domäne: www.ttt-point.de
Vorbereitungen
Achtung: Soll der Zugriff auch auf den Webserver über https erfolgen, so muss zuerst der Port des Userinterfaces umgelegt werden.
In der Werkseinstellung ist der Port 443 für https schon vom User-Webinterface der UTM belegt. Dieser muss dann auf einen anderen Port umgelegt werden. Die Einstellungen dazu befinden sich im Menü Netzwerk Servereinstellungen Bereich Servereinstellungen im Abschnitt
Webserver
Ggf. müssen Paketfilterregeln, die den Zugriff auf das User Webinterface erlauben angepasst werden.
Speichern
Für https benötigt der Reverse-Proxy ein Zertifikat damit er die verschlüsselte Verbindung entgegen nehmen kann
Hierzu wird unter Authentifizierung Zertifikate ein Zertifikat benötigt
Wird ein lokal selbst erstelltes Zertifikat verwendet, müssen externe Nutzer beim ersten Aufruf eine Zertifikatswarnung bestätigen
Besser ist es, ein öffentlich ausgestelltes, käuflich erworbenes Zertifikat zu importieren oder ein ACME-Zertifikat zu erstellen
Wichtig: der Name des Zertifikates muss so benannt werden wie die Domäne. In diesem Beispiel wird ein Wildcard-Zertifikat *.ttt-point.de verwendet.
Unter Anwendungen Reverse-Proxy kann über die Schaltfläche Reverse-Proxy Assistent im Header der Assistent geöffnet werden.
Assistent
Schritt 1 - Intern
Beschriftung
Wert
Beschreibung
[[Datei: ]]
Zielserver existiert bereits als Netzwerkobjekt
Zielserver
www.ttt-point.de
Ist der Host schon als Netzwerkobjekt angelegt, kann dieser im Dropdown Menü direkt ausgewählt werden.
443
Der Webserver soll über eine Verschlüsselte Verbindung angesprochen werden.
SSL benutzen
Ein
Legt fest, ob SSL verwendet werden kann
Zielserver
Server anlegen
Sollte der Exchange Server noch nicht als Netzwerkobjekt existieren, kann er über den Auswahlpunkt Server anlegen im Assistenten angelegt werden.
Zielserver existiert noch nicht als Netzwerkobjekt
Servername
www.ttt-point.de
Name des Netzwerkobjektes. Der Servername des Netzwerkobjekts kann bei der Neuanlage frei gewählt werden, darf jedoch noch nicht bei anderen Objekten in Verwendung sein. Eine sinnvolle Namenskonventionen sollte berücksichtigt und eingehalten werden. Da hier für den Webserver mit der Homepage die Verbindung konfiguriert und das Ziel später auch als "www.ttt-pint.de" zu erreichen sein soll, wird diese Bezeichnung auch für das Netzwerkobjekt verwendet.
IP-Adresse
10.1.0.150
IP-Adresse des Webservers
dmz1
Zone des Netzwerkobjektes. Die Zone wird automatisch eingetragen, wenn die IP-Range der UTM bekannt ist.
Wir empfehlen grundsätzlich Systeme, die von außen erreichbar sind, in einem eigenen Netzwerk mit eigener Zone aufzustellen.
443
Der Webserver soll über eine Verschlüsselte Verbindung angesprochen werden.
SSL benutzen
Ein
Legt fest, ob SSL verwendet werden kann
Weiter
Schritt 2 - Extern
Eingehende Verbindung definieren
Externer Domainname:
www.ttt-point.de
Hier wird eingetragen, wie der Server hinter der UTM angesprochen wird.
Es kann hier auch die öffentliche IP-Adresse eingetragen werden, die der Client aus dem Internet aufruft. Allerdings ist es dann nicht möglich über zusätzliche Subdomains weitere einzelne Server zu unterscheiden.
[[Datei: ]]
Konfiguration des externen Zugriffs, damit der Reverse-Proxy auf Anfragen reagiert
Modus
HTTPS
Zu nutzender Modus
443
Port für den SSL-Proxy des entsprechenden Servers
SSL-Zertifikat
*.ttt-point.de
Das zuvor angelegte Wildcard-Zertifikat (siehe Abschnitt: Vorbereitungen)
Weiter
Schritt 3 - Extern (Global)
Authentifizierung weiterleiten:
Leitet fixe Zugangsdaten (hier: Keine) an den Reverse Proxy weiter. Der Proxy soll keine Authentifizierung durchführen
[[Datei: ]]
Anmeldename
Passwort
Authentifizierung
aus
Authentifizierung ist bei einem Webserver, der die öffentliche Homepage vorhält nicht sinnvoll.
Fertig
Die Anordnung in Servergruppen ermöglicht es, verschiedene Beziehungen im Reverse Proxy darzustellen:
Automatisch angelegte Servergruppe
Mit der Schaltfläche Server hinzufügen lässt sich die Servergruppe erweitern notempty
Neu ab v12.7.0
und unter Server lassen sich die einzelnen Server mit der Schaltfläche bearbeiten.
[[Datei: ]]
Über ACLs lassen sich Zugriffsrechte zuweisen.
ACL-Set time
req_header
Filter auf den Header des Clients Es muss der Name des Headers und der Regex, der auf den Wert des Headers matcht übergeben werden
src
Gibt die Quell IP des Clients in CIDR Notierung an
dstdomain
Gibt die Domäne/IP des Ziel-Servers an
dstdom_regex
Regex auf die Ziel-Domäne
srcdomain
Gibt die Domäne des Absenders an
srcdom_regex
Regex auf die Quell-Domäne. Die Quell-Domäne wird über einen Reverse IP Lookup ermittelt (via IP-Adresse des Clients)
urlpath_regex
Ein Regex Ausdruck, der auf die URL hinter der Ziel-Domäne matcht
proto
protoProtokoll
time
Definiert einen Zeitraum, zu dem die Webseite aufgerufen werden muss
S - Sonntag
M - Montag
T - Dienstag
W - Mittwoch
H - Donnerstag
F - Freitag
A - Samstag
D - jeden Werktag
Bei einer vorhandenen Servergruppe kann über die Schaltfläche ein Site hinzugefügt werden. notempty
Neu ab v14.1.1
Falls ungültige Konfigurationen vorliegen, werden diese mit einer Warnung () versehen. Beim Hovern über diese Warnung wird außerdem eine kurze Beschreibung des Problems gezeigt.
Alle Sites müssen ein dst_dom*-ACL aktiv haben, andernfalls werden sie ignoriert.
[[Datei: ]]
Einstellungen
Einstellungen
Hier kann festgelegt werden ob HTTP/HTTPS oder beides verwendet werden soll, die Ports sowie das Zertifikat für den entsprechenden Server.
