Обратный прокси
Публикация веб-ресурсов локальной сети таким образом, чтобы они стали доступны потребителям из сети Интернет.
Last updated
Публикация веб-ресурсов локальной сети таким образом, чтобы они стали доступны потребителям из сети Интернет.
Last updated
Название службы раздела Обратный прокси: ideco-reverse-backend.
Список служб для других разделов доступен по ссылке.
Технология обратного прокси позволяет проксировать веб-трафик из сети Интернет в локальную сеть. Отличается от DNAT тем, что работает на более высоком уровне (прикладной протокол HTTP вместо сетевого протокола IP) и позволяет более гибко реализовать публикацию ресурсов.
Основной параметр при публикации веб-ресурса - Запрашиваемый адрес в Интернете. Из внешней сети по протоколу HTTP и URL будет произведено обращение на UTM. Обратный прокси позволяет смаршрутизировать такой запрос на HTTP-сервер в локальной сети. Таким образом, имея одну ресурсную A-запись для внешнего сетевого интерфейса UTM, можно опубликовать несколько ресурсов в локальной сети, распределив их по нескольким входящим URL. Если же с внешним IP-адресом UTM ассоциировано несколько A-записей, то маршрутизация становится еще более простой, а входящие URL - более удобными для посетителей ресурсов.
Настройка сертификатов для публикуемых ресурсов не требует их ручной загрузки. Сейчас Ideco UTM сам отправляет запрос на выпуск сертификата Let's Encrypt. Выпуск сертификата может занять до 20 минут. Выпущенные сертификаты будут доступны в разделе Сертификаты.
Для создания правила перейдите в раздел Сервисы -> Обратный прокси и нажмите на кнопку Добавить. Форма добавления правила разделена на два подраздела: Основные настройки, Адреса web-серверов для балансировки запросов между ними и Дополнительные настройки.
Запрашиваемый адрес в Интернете - введите IP-адрес, доменное имя или URL, который будет запрашиваться пользователями. Для добавления дополнительных адресов нажмите кнопку Добавить адрес;
Адрес в локальной сети - введите IP-адрес из локальной сети, на который будут перенаправляться пользователи.
Если указать в строке Запрашиваемый адрес в интернете 0.0.0.0, перенаправление будет работать со всех внешних IP-адресов Ideco UTM на адрес из строки Адрес локальной сети.
Чтобы перенаправление работало с доменов Ideco UTM на адрес из строки Адрес локальной сети, необходимо явно указать домены в строке Запрашиваемый адрес в интернете.
Протокол - выбранный протокол используется для всех адресов в правиле;
Адрес web-сервера в локальной сети - Адрес, на который будут перенаправлены запросы;
Путь - Поле необязательное и используется для всех адресов.
Функция Перенаправлять HTTP запросы на HTTPS используется в случае, если ваш сайт работает только по протоколу HTTPS, но при этом вы не хотите терять посетителей, обратившихся к вашему сайту по HTTP;
Функция Web Application Firewall позволяет защитить опубликованные ресурсы с помощью Ideco UTM от различного вида атак (включая атаки SQLi, XSS, DoS и другие);
При включении функции Передавать web-серверу реальный IP-адрес клиента публичный IP-адрес клиента при обратном проксировании не заменяется на адрес UTM.
Web Application Firewall (WAF) анализирует запросы к сайту и блокирует атаки на уязвимые компоненты веб-приложения (в частности типы атак, входящие в OWASP TOP-10). При активации данного модуля также будут блокироваться злоумышленники, ведущие сканирование сайта на уязвимости, с помощью модуля защиты от brute force атак.
Не рекомендуем использовать проброс веб-интерфейса UTM через WAF, так как при попытке входа пользователь может быть заблокирован средствами WAF.
Поле Тип публикации позволяет выбрать один из типов: Стандартный и Outlook Web Access. Тип Outlook Web Access используется для публикации Microsoft Exchange.
В полях Запрашиваемый адрес в Интернете и Адрес в локальной сети для типа Outlook Web Access укажите только домены https://youdomain/ без остальной части URL (она не используется при публикации этим способом).
При публикации Outlook Web Access не включайте Web Application Firewall. Их совместная работа будет возможна в следующих версиях.
Если у вас имеется доверенный SSL-сертификат для домена, по которому будет идти обращение извне на публикуемый ресурс, то его можно загрузить в раздел Сервисы -> Сертификаты с помощью кнопки Добавить.
Доменные имена, указываемые в поле Запрашиваемый адрес в Интернете, должны резолвиться во внешний IP-адрес сервера UTM. Доменные имена, указываемые в поле Адрес в локальной сети, должны резолвиться в IP-адреса публикуемых ресурсов самим сервером UTM.
Публикация CMS
На данный момент нами протестирована и официально поддерживается публикация сайтов на двух популярных CMS: Joomla и Wordpress. Подробности публикации каждой CMS описаны ниже.
