Verschiedene externe Domains (DDNS) auf interne IP NATten

[axlemoxle]

Hallo,

ich möchte gerne mehrere Domains/Subdomains auf meine Wan-IP leiten.

domain1.domain.com soll dann z.b. auf ip 10.0.0.5
domain2.domain.com soll dann z.b. auf ip 10.0.0.7

usw....

Mehrere Supdomains kann ich von meinem Provider aus als DDNS laufen lassen, d.h. in der sense mehrere DDNS anlegen, die alle auf die gleiche (WAN) Ip verweisen. Die Sense muss jetzt nur noch erkennen welche Domain aufgerufen wurde und das auf die jeweilige interne IP leiten.

Hintergrund sind mehrere VM´s von denen ich verschiedene Dienste von aussen erreichbar machen möchte und das aber gerne sauber trennen möchte...sonst könnte man ja auch verschiedene ports entsprechend per Nat weiterleiten.

Jemand ne Idee???Danke schonmal

[micneu]

wenn es web dienste sind kannst du es mit einem haproxy machen (stichwort reverseproxy) gibt es einige beispiele die du googlne kannst hatte ich damals auch gemacht

[axlemoxle]

Sind eher keine Webserver.
Also nix auf Port 80oder 443
Geht das dann auch?

[Patrick M. Hausen]

Kurze Antwort: nein.
Längere Antwort: das Protokoll benötigt einen Weg, einen Hostnamen zu transportieren/auszuwählen. Das gibt es so nur für HTTP/S, heißt dann SNI. Bei allen anderen Anwendungen, sieht die Firewall nicht, auf welchen internen Host du eigentlich zugreifen willst.

[axlemoxle]

hmm...also keine wirkliche Lösung das so darzustellen mit nur einer externen IP und mehreren domains/subdomains die intern durchgeleitet werden sollen....

hätte ich halt schöner gefunden als alles über einen externen hostname zu lösen und dann die entsprechenden ports weiterleiten...

Idee war halt 1 Domain -> 1 VM

[Patrick M. Hausen]

Für HTTP/S kein Problem. Was für Dienste sind denn das alles, die

1. kein HTTP/S sind und
2. alle dieselben Ports brauchen?

Ich mein, natürlich kannst du einen Minecraft-Server auf VM1 und einen OpenVPN-Server auf VM2 etc. pp. legen. Und für HTTP/S gibt es eben Reverse-Proxies wie HA-Proxy, damit man da überall denselben Port benutzen kann.

Ich hab 2x Confluence, 1x Gitea, 1x Grafana, 1x Apache Guacamole, ... alles auf einer IP-Adresse. Ist halt vom Zugriff her alles HTTPS.

[axlemoxle]

Verstehe, habe aktuell urbackup laufen, zugriff auf telefonanlage von extern, ggf. nextcloud mal, usw....

Die kommen sich von den Ports her nicht wirklich in die Quere, evtl. die Telefonanlage mit 443 und nextcloud

Idee war halt das sauber über die Domains trennen zu können...
also
domain 1 - urbackup
domain 2 - nextcloud
usw

[Patrick M. Hausen]

Ja, da packst du einen Reverse-Proxy auf Port 443, der leitet dann je nach Hostnamen die Verbindung zur Nextcloud oder zur Telefonanlage.

Und das Urbackup läuft dann auf einem anderen Port? Wenn ja, dann richtest du eben noch urbackup.meinedomain.de ein und leitest dann diesen Port auf as Urbackup.

Das funktioniert alles einwandfrei. Wenn es kein HTTP/S ist, ist der Hostname egal, aber das heißt ja nicht, dass du keinen anlegen kannst. Meine Dienste heißen auch alle unterschiedlich.

[axlemoxle]

...ist klar. das bedeutet aber dass der urbackupdienst auf seinem port 55414 zwar unter seinder url urbackup.blba.com erreichbar ist aber auch unter nextcloud.blbla.com...oder wie ?

[Patrick M. Hausen]

Ja, klar. Ist aber doch wurst. Der Sinn ist doch, dass du urbackup.blba.com in irgendeinem anderen System einträgst, damit du das unabhängig von der Nextcloud auch mal umziehen kannst.

[axlemoxle]

...im Prinzip ja...

[axlemoxle]

dem Reverseproxy kann man nicht sagen, dass er den port vom urbackup auch nur von der jeweiligen url aus erreichbar macht, oder?

[Patrick M. Hausen]

Da das urbackup-Protokoll höchstwahrscheinlich keinen Hostnamen transportiert - wie soll der Proxy das dann wissen? Außerdem brauchst du für alles außer HTTP/S keinen Proxy - ein NAT Port Forwarding erledigt dasselbe.

Auf der Firewall kommen Verbindungen zur IP-Adresse an. Wie das Gerät draußen im Internet an die Adresse gekommen ist, weiß die Firewall nicht.

Im Fall von HTTP/S ist es nun ausdrücklich vorgesehen, dass der Client sagt "ich möchte übrigens per TLS mit dem Host www.blabla.de sprechen, bin ich hier richtig?" Und dann kann der Reverse-Proxy sagen "www.blabla.de kenne ich nicht" oder eben die Verbindung passend durchleiten. Das ist bei HTTP/S explizit eingebaut. Drölfzig andere Protokolle haben das nicht.

Damit kann ich nicht ausschließen, dass Urbackup das kann - ich kenne das Produkt nicht. Aber es ist unwahrscheinlich.

Gruß
Patrick