DNS, Snow, et plusieurs serveurs

[PoneyBoy]

Hello !

Bon j'ai une tite question.

J'ai un Mac mini qui me fait office de serveur sous Snow Serveur et un NAS Synology DS-408.

J'ai configuré mon domaine OVH car j'avais besoin de Dynhost donc j'ai chez OVH :

.domain.tld — Dynhost — XX.XX.XX.XX
www.domain.tld — CNAME — home.domain.tld
nas.domain.tld — Dynhost — XX.XX.XX.XX
home.domain.tld — CNAME — domain.tld

Bon, parallèlement à ça, j'ai configuré le service DNS du Mac comme suit :

1.168.192.in-addr.arpa. — Zone inverse:
• 192.168.1.151 — Mappage inverse — home.domain.tld
• 192.168.1.152 — Mappage inverse — nas.domain.tld

domain.tld. — Zone principale :
• home.domain.tld. — Machine — 192.168.1.151
• nas.domain.tld — Machine — 192.168.1.152

Premier problème, je n'ai pas pu entré plus que "nas" comme nom d'hôte sur le Synology car l'interface n'accepte pas les points.
Deuxième problème, seul le serveur et les machines de mon réseau dans lesquels j'ai entré l'adresse IP du serveur et le domaine de recherche "domain.tld" dans les préférences réseau peuvent avoir accès au Synology en tapant "http://nas.domain.tld". J'aurais voulu rendre visible la page du serveur à l'extérieur.

Que faire?

Merci!

Ce message a été modifié par PoneyBoy - 28 Jul 2012, 19:57.

[PoneyBoy]

Personne n'a une idée?

[Yoc]

A première vue, de l'extérieur, je ne vois pas pourquoi tu ne pourrais pas contacter ton NAS à partir du moment où ton routeur redirige le port de l'interface web du NAS vers son IP privée. Cela fonctionne-t-il en utilisant l'IP publique plutôt que le nom de domaine ?
Attention si tu fais l'essai depuis ton LAN, certains routeurs ne permettent pas d'accéder aux machines du LAN en utilisant l'IP publique.

[PoneyBoy]

Alors l'interface d'admin est sur le port 5000. En local, normalement, je tape l'IP du machin, et automatiquement il redirige vers http://192.168.1.X:5000. Le NAS s'appelant "nas", je peux également le joindre en faisant http://nas.local, qui redirige vers http://nas.local:5000.

J'ai tenté de rediriger le port 5000 vers le NAS, et effectivement quand je tape domain.tld:5000, www.domain.tld:5000, home.domain.tld:5000 ou nas.domain.tld:5000, ça marche. Ce que je voudrais pouvoir faire, c'est que, avec ou sans rediriger le port, lorsque de l'extérieur je tape juste http://nas.domain.tld, il y ait la redirection automatique vers http://nas.domain.tld:5000 et que la page s'affiche.

Je pense qu'il y a une manip à faire dans les réglages du DNS du serveur mais je ne sais pas laquelle. J'avoue commencer à être un peu perdu pour l'instant.

Je vais remplacer prochainement ce Mac mini serveur sous Snow, par un G5 sous un 10.5 serveur. Il a deux interfaces Gigabit Ethernet, et peut-être qu'il serait judicieux de faire de cette machine un routeur en plus du reste, et simplifier ainsi les configurations, en passant "LaBox de Numericable" en mode bridge par exemple.

[PowerBook]

Pour "attaquer" un périphérique par l'extérieur il faut rediriger (NAT) dans un des menus de la BOX une régle NAT avec redirection sur l'adresse du périphérique et un choix pour le port externe et interne.
Soit, de l'extérieur, "l'adresse de la box:le port externe"

[PoneyBoy]

Merci, je sais bien. Ce n'est pas la question, ou alors il manque un grand bout de la réponse. Je veux que ce soit accessible en propre avec un nom d'hôte de mon domaine, et que ce soit géré en propre par mon DNS local. C'est ça le vrai soucis.

[vlurk]

Le comportement que tu cherches ne s'obtient pas par une configuration DNS. En effet, lorsque tu tapes un hostname dans un fureteur sous la forme http://nas.local ou bien http://nas.domain.tld, une résolution d'adresse IP survient (DNS), puis le fureteur initie immédiatement une connexion vers cette adresse IP sur le port TCP 80. C'est systématique.

La raison pour laquelle nas.local te redirige vers nas.local:5000 est fort probablement qu'un redirecteur est configuré sur le Synology. C'est à dire qu'il existe un simple serveur HTTP sur le port 80, qui répondra à une connexion client avec un HTTP-Redirect.

Il te faudrait donc avoir deux redirections de port au niveau de ton routeur : TCP 80, et TCP 5000. Vers l'IP local de ton Synology (comme le port 5000 est actuellement configuré). Et il faudra alors que le redirecteur ne retourne pas le hostname "nas.local" dans sa réponse, mais nas.domain.tld (puisque nas.local ne pourra pas être résolu à l'externe). Mais il est fort probable qu'il soit configurer pour utiliser le hostname contenu dans l'entête de la requête HTTP-GET.

L'autre solution serait que ton routeur puisse faire une traduction d'adresse, c'est ce que tentait de suggérer PowerBook je crois. C'est à dire que tu rediriges les connexions entrantes sur le port TCP 80 (au niveau du routeur), vers l'adresse IP local de ton NAS, mais vers le port 5000 (port d'origine différent de celui de destination, traduit par ton routeur).

Le protocole DNS ne fait vraiment que répondre à des requêtes simple. Il ne fournit que la réponse à des requêtes pour des enregistrements de type A, CNAME, PTR, SOA, TXT, NS et MX. Tu pourrais chercher toute une vie... Mais il n'y a pas moyen de contruire un redirecteur (ce que tu cherches) en manipulant uniquement les requêtes DNS.

[PoneyBoy]

D'accord merci pour cette réponse claire et complète !

Je pensais, sans doute par erreur, qu'un enregistrement SRV pouvait faire l'affaire mais ça me paraissait un peu énorme vu le besoin !

Alors admettons ce que tu me dis, le problème c'est que mon Mac est mon DNS mais aussi mon serveur Web. Or si je redirige le port 80 vers le NAS, j'obtiendrai la redirection vers le port 5000 mais je n'aurais plus accès au serveur Web de mon Mac, n'est-ce pas?

Quelle solution pour passer outre et avoir accès aux deux?

En négligeant totalement le fait que l'on ait un NAS qui bricole avec le port 5000, Si j'avais mon Mac mini qui fait DNS et Web, puis un autre Mac avec juste le service Web, comment rendre accessible les deux depuis l'extérieur si je dois forcément rediriger le port 80 vers l'un ou l'autre?

Merci !

[fearozz]

Ton problème n'a rien avoir avec le DNS. On va donc partir que tout roule de ce côté, ce qui semble confirmé par le fait que, en précisant :5000 tu arrives à te connecter à ton NAS de l'extérieur.

Quand tu te connectes à ton NAS de l'extérieur et que tu es redirigé vers le port 5000, cela ne tient pas du miracle. Tu te connectes d'abord implicitement sur le service HTTP via le port 80 du Synology qui te redirige alors vers le 5000.
Pour avoir le même comportement de l'extérieur, tu dois donc mapper le port 80 vers ton Synology en plus du 5000.

1ère remarque : il est plus que souhaitable de banir l'HTTP si tu veux que tout cela soit accessible de l'extérieur, préfère le HTTPS.
2ème : un G5 en tant que firewall ? Cette partie dans OS X Server ne sert vraiment à rien, ne permet pas grand chose, et en plus tu vas exposer ton serveur à l'extérieur. Il n'y a aucune analyse de trafic, pas de prévention d'intrusion, le firewall est simpliste... Bref une solution à prohiber.
Regarde du côté de pfSense par exemple, certains fournisseurs vendent même des solutions clé sur porte pour pas trop cher (cartes mères Alix), ou, si tu as un PC dont tu ne fais rien, et que ton usage reste absolument personnel, tu peux aussi jeter un oeil de ce côté : http://www.sophos.com/en-us/products/free-...me-edition.aspx . Ce ne sont que deux exemples, il y a plein de solutions intéressantes et souvent gratuites qui offriront de bien meilleurs services que ce pu***n de firewall intégré à OS X Server.

Bon courage :-)

Edit : le temps que je tape ma réponse, vlurk m'a devancé :-)

Ce message a été modifié par fearozz - 28 Jul 2012, 22:52.

[PoneyBoy]

Merci fearozz pour les éclaircissements et surtout pour le tuyau pour le firewall. C'était juste une idée car je viens de récupérer un G5.

Mais du coup, Si je veux deux serveurs Web distincts, classiques, sur port 80, le tout sur deux machines différentes mais sur la même connexion, avec chacun un hôte distinct, comment gérer ça? Je n'y ai jamais été confronté.

PS: A une époque j'utilisais IPCOP puis Smoothwall (plus de mon niveau par rapport a pfSense) et c'était pas trop mal, si ça peut intéresser

Ce message a été modifié par PoneyBoy - 28 Jul 2012, 22:59.

[fearozz]

Alors admettons ce que tu me dis, le problème c'est que mon Mac est mon DNS mais aussi mon serveur Web. Or si je redirige le port 80 vers le NAS, j'obtiendrai la redirection vers le port 5000 mais je n'aurais plus accès au serveur Web de mon Mac, n'est-ce pas?

Quelle solution pour passer outre et avoir accès aux deux?

En négligeant totalement le fait que l'on ait un NAS qui bricole avec le port 5000, Si j'avais mon Mac mini qui fait DNS et Web, puis un autre Mac avec juste le service Web, comment rendre accessible les deux depuis l'extérieur si je dois forcément rediriger le port 80 vers l'un ou l'autre?

Réponse simple : tu ne peux pas. Il te faudrait plusieurs adresses IP WAN, avoir tes entrées DNS configurées vers ces différentes IP, et là seulement tu pourrais avoir deux forward du port 80. Du coup, faut un firewall qui gère le multiWAN, et on sort du cadre "familial".
Peut-être une solution de type reverse proxy HTTP qui pourrait renvoyer vers la bonne machine en fonction de l'adresse de requête, mais c'est chaud, chaud...

Plus simplement, laisse ton site Web sur le port 80 et rend ton Synology accessible en HTTPS (donc 443 redirigé vers le 5001), c'est plus sécurisé.

[vlurk]

Hahaha, bien vu : j'avais oublier de citer le type SRV, mais c'est le même principe...

À la couche 4, le port 80 ne peut être rediriger que vers une seule adresse. On pourrait faire une distinction sur l'adresse IP source à la limite. Mais bon, c'est probablement pas ce que tu cherches. Malheureusement. Je ne vois alors que trois moyens:

1. Posséder au moins deux adresses IPs publiques. Tu pourrais alors rediriger le port TCP 80 d'une adresse vers une machines, et celui de l'autre adresse vers une autre machine.

2. Acheter un service de redirecteur... Ou un serveur Web cohéberger. C'est à dire qu'un serveur web, quelque part, va te procurer un service de redirection. nas.domain.tld pourrait alors se résoudre par l'IP de ce serveur, qui servirait un HTTP redirect aux clients vers ton adresse IP publique (ou un autre hostname), sur le port 5000.

3. Se résigner à saisir le port dans ton fureteur. Mais tu sais, une fois que tu as créer le bookmark, ce n'est plus un problème en principe.

Oupss, je vois que mes réponses et celles de fearozz se chevauche. Désolé pour ça!

[PoneyBoy]

3. Se résigner à saisir le port dans ton fureteur. Mais tu sais, une fois que tu as créer le bookmark, ce n'est plus un problème en principe.

Pour le coup, l'idée c'était de faire propre, donc a la rigueur le Web du mini sur le port 80, et celui du NAS si on peut le paramétrer en HTTPS comme ca le mec lambda ne voit que du feu et ça fait pas trop dégueulasse vu de l'extérieur. Non?

Edit: Par contre quand je vais sur http://nas.domain.tld ou home ou web ou n'importe quoi, ca m'emporte dans le monde merveilleux du serveur Web du mini, mais si je tape la même chose mais avec https, ca contactera le NAS. Comment faire pour que seulement http://nas.domain.tld (et pas les autres host) redirige vers httpS://nas.domain.tld, qui redirigera lui même vers le port 5000?
Et comment faire pour que https://www.domain.tld ne joigne jamais le NAS?

Ce que je veux dire c'est comment faire pour que "nas" ne puisse joindre QUE le NAS (certes en HTTPS) et les autres ne sachent joindre QUE le mini?

Je crains que ce ne soit pas possible du fait que je n'ai qu'une adresse externe.

Ce message a été modifié par PoneyBoy - 28 Jul 2012, 23:18.

[vlurk]

Attends une seconde, l'idée du reverse proxy me donne une idée!

En effet, tu pourrait créer des virtual hosts sur ton web serveur. Un virtual host utilises l'en-tête de la requête pour différencier le serveur virtuel qui doit répondre (le contenu à présenter). Par exemple, tu pourrais créer un virtual host pour "nas.domain.tld". Et ce virtual host servirait le http redirect vers nas.domain.tld:5000 ! Tout simplement....

De cette manière, tu obtiendrait ta redirection et n'atteindra pas la page web du default web server de ton Mac mini.

[PoneyBoy]

L'idée est très intéressante, mais alors je peux même faire sans de manière basique normalement. Un virtual host nas.domaine.tld qui redirige vers le port 5000 et ça devrait marcher non?

Sinon pour le proxy il faut m'expliquer parce que je n'ai jamais touché à ça !

[vlurk]

L'idée est très intéressante, mais alors je peux même faire sans de manière basique normalement. Un virtual host nas.domaine.tld qui redirige vers le port 5000 et ça devrait marcher non?

Le virtual host serait configuré sur ton Mac mini. Et effectivement, c'est lui répondra au client sur le port 80, par un http redirect. Donc techniquement, c'est uniquement une config à faire sur ton Mac mini, puisque ton port 80 est déjà redirigé vers cette machine, et que le port 5000 est déjà rediriger vers le NAS.

Et donc oui, ça devrait marcher. Sans quoique ce soit d'autres. Je n'arrives pas à croire que je n'y ait pas pensé plus tôt...

[PoneyBoy]

Ah merde ! Tu me l'aurais dit... Moi j'y avait pensé au tout début ! Par contre comment faire un HTTP redirect dans les virtual host ou je dois faire un simple page qui ne sert qu'a ça?

[vlurk]

Ah merde ! Tu me l'aurais dit... Moi j'y avait pensé au tout début ! Par contre comment faire un HTTP redirect dans les virtual host ou je dois faire un simple page qui ne sert qu'a ça?

L'un ou l'autre. Je ne peux trop t'aider, par rapport à Snow Leopard serveur (avec le quel je n'ai aucune expérience) mais voici un petit tuto qui résume tous les moyens de faire un redirect avec un serveur Apache : http://www.yolinux.com/TUTORIALS/ApacheRedirect.html

Perso, je ne créerais pas de page, et j'utiliserais un "redirect permanent" ou un "RewriteRule". Donc pas de page.

Mais si modifier la config de ton virtual host te semble difficiles, un redirect à l'aide d'une page est tout aussi fonctionnelle.

[PoneyBoy]

En fait, l'avantage que je trouve à Mac OS X Serveur, c'est la partie graphique, qui permet pour moi de voir facilement et manipuler les paramètres plus clairement. C'est ce qui me permet d'apprendre. Malheureusement certaines fonctions n'existent pas ou partiellement et je ne trouve pas judicieux de me mettre à éditer à la main des fichiers normalement édités par une interface. Juste une histoire de préférence personnelle et de rigueur. Merci en tout cas pour toutes ces infos.

Je te paye un café quand tu veux si tu passes sur Paris !

Juste une question, dans mon premier post je détaille la config chez mon registrar, et celle du DNS local. Si je fais tout ce qu'on a dit, du coup la ligne nas.domain.tld - A - 192.168.1.152 devient inutile n'est-ce pas?

[PoneyBoy]

Tout fonctionne ! Bon par contre je ne sais pas ce qui se passe, depuis quelques instants, je n'arrive plus a accéder à aucun de mes hosts virtuels sur le mini lui-même, et depuis les machines qui utilisent le mini comme DNS... Je ne comprends plus...