Mikrotik nastavení portu

MadBaz

Dobrý den,
Mám takový problém. Chci mít portál přístupny zvenčí na adrese např. example.com. Teď je přístupny na 12.34.56.780:1234(funguje). Nastavil jsem si pro doménu example.com DNS záznam, odkazující na adresu 12.34.56.780(example.com A 12.34.56.780). Taky jsem si nastavil záznam, který by měl směrovat na port 1234 (sip.tcp.example.com SRV 5 1234 example.com). Ovšem když naťukám www.exemple.com se mi načte stránka Mikrotiku, který běží na portu 80. Ptal jsem se poskytovatele domény a ten mi řekl, že problém bude v nastavení Mikrotiku.
Muže mi někdo poradit, co mám nastavit, aby při zadaní adresy www.example.com se otevřela stránka se správným portem (12.34.56.780:1234)

Děkuji

nosek_tomas2004

Asi se zeptám blbě, ale máš nastavený na tom MK správně port forvard? Pokud totiž vím, gak DNS řeší jenom example.com --》12.34.56.78 a ne porty.

MadBaz

nosek_tomas2004
ano, mám. Firewall->NAT->dstnat

nosek_tomas2004

Řešením by bylo, dropnout na MK webfig z WAN a přesměrovat port 80 na port 1234 k lokální IP. Ale nevím, zda jsem tě správně pochopil

MadBaz

nosek_tomas2004 to by šlo, to funguje. ale problém je v tom, že ja bych vlastně chtěl na stránku example.com hodit adresu 12.34.56.780:1234 a na subdoménu neco.example.com hodit adresu 12.34.56.780:0123. Z toho co píšete to znamená, že asi nepůjde, co?

nosek_tomas2004

MadBaz A máš daný jiný port v IP-->Services na WWW? Jinak se to bude krýt s tím dstanetm 80->1234. Protože co popisuješ odpovídá, že máš Webfig pořád na 80tce.

MadBaz

nosek_tomas2004 V IP Service List skutečně mám www na 80. Mám ho změnit na 1234? Když jsem to udělal na exapmle.com se nenačítal ani Mikrotik.

nosek_tomas2004

MadBaz To dává smysl. Klasická web HTTP komunikace běží defaultně na portu 80. Tj když dáš google.com ve skutečnosti se pošle na google.com:80. Musíš si uvědomit, že DNSka neřeší porty, ale jenom překlad z dománových jmen (example.com) na IP adresy (1.2.3.4). Zdá se mi, že v tom máš celkem zmatek. Začneme tedy od začátku:

Uděláš PortForward (z portu 80 na port 1234)

/ip firewall nat add chain=dstnat dst-port=80 action=dst-nat to-ports=1234 to-addresses="LAN IP tvojeho serveru"

uděláš ve Firewallu drop z venčí na port 80 s chainem input = zakázání přístupu do administrace mikrotiku z WAN strany přes web:

/ip firewall filter add chain=input dst-port=80 in-interface="Tvoje WAN rozhrani" action=drop

Povolíš překlad komunikaci dovnitř z přeloženého portu:

/ip firewall filter add chain=forward dst-port=80 in-interface="Tvoje WAN rozhrani" action=accept

Obě tyto pravidla ve FireWallu vytáhneš výše.
Už by mělo fungovat, že když z jiné sítě (třeba z mobilu) napíšeš http://1.2.3.4/ tak by se měl načíst ten server
Už jenom zaregistruješ doménu example.com adrese 1.2.3.4

PS: Adresa 1.2.3.4 zastupuje tvoji veřejnou IP

nosek_tomas2004

MadBaz to by šlo, to funguje. ale problém je v tom, že ja bych vlastně chtěl na stránku example.com hodit adresu 12.34.56.780:1234 a na subdoménu neco.example.com hodit adresu 12.34.56.780:0123. Z toho co píšete to znamená, že asi nepůjde, co?

Můj poslední příspěvek byl psán, ještě když tu tahle zpráva nebyla. Je tedy zbytný, jestli to funguje.

A musí to být takto "z venku"? Je v plánu na ty služby přistupovat z internetu? Nebo stačí z lokální sítě? Kdyby stačilo z vnitřní lokální sítě, tak by to šlo.

Ale z internetu si myslím, že to nejde, ale 100% to nevím. Je problém v tom, že (jak píši výše) DNS neřeší porty. A tím, že jsi schovaný za NATem a máš pouze jednu veřejnou IP, tak to asi nepůjde. Každý *.example.com by skončila na veřejné IP, kterou máš jenom jednu. Takže prašť jak uhoď.

Toto by řešila IPv6, ale té nerozuím. IPv4 mi přijde smypatičtější.

Možné řešení je to (nevím, zda je z vaší strany přípustné), že by se na example.com udělala HTML stránka se nějakým seznamem, který po kliknutí na dané políčko přesměroval vždy na example.com:něco. Např:

Server1 (-->example.com:81)
Server2 (-->example.com:82)
Server3 (-->example.com:83)
atd

MadBaz

nosek_tomas2004 Mockrát děkuji za pomoc. To řešení s HTML je dobré, asi to tak nějak dopadne.
Přeji hezky den.

jcltm

Na tohle se používá reverse proxy, doporučuji nastudovat. Na Apache případně NGINX se nasměruje provoz a ten podle doménového jména buď sám odpovídá nebo přehazuje požadavek na příslušný server. Sám to mám takto na Apache zprovozněné - dají se tak řešit i subdomény. A ideálně na reverse proxy zahazovat požadavky bez korektního domain name, což zahodí většinu bordelu co leze z netu a případně na Apache použít modsecurity pro ochranu před DDoS a blacklist IP z Ruska, Číny a dalších necivilizovaných částí světa. Jako revrse proxy může sloužit i obyčejné RPi.

nosek_tomas2004

jcltm Díky za poučení a vyvedení z omylu! 😀

@MadBaz se omlouvám, že jsem řekl, že ti nejde. Sám jsem to nevěděl.

rsaf

Pokud má být portál dostupný na www.domena.cz, musí ta služba být na portu 80 (a případně https na 443). Na žádné SRV záznamy se nehraje. Takže web mgmt mikrotiku přehodit jinam a portál posadit na 80.