Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 10 replies
  • Subscribers 2 subscribers
  • Views 3219 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

DNAT woes with Web server - internal access

chrismoo
I have created the DNAT rules and packet filter rules (and tried with auto packet rules) -  to webserver http and https allow
 
My services seem accessible from outside now as expected which is great!
 
Problem is users on my LAN cannot access either the website or Outlook Web Access.
 
Nothing displays in the filter as blocked but something I guess is not right anything from 192.168.1.0 going to the webserver outside address (which then DNATs back to an internal address) does not work.
 
Is it disappearing up its own *** :-) with the DNAT from an internal address? I tried to create a Stub zone on my internal DNS to point the www.domainname.com to the local address but I cannot create a stub zone for my domain as it will not download from my hosts DNS who has SOA for our domain.
 
Anyone got any suggestions before I go bald [:D]
 
Thanks,
 
Chris


This thread was automatically locked due to age.
Parents
  • 0
    You probably need to create static DNS entries on the Astaro pointing to the internal IPs of the relevant hosts. KB article 242661 addresses this (text of article below)


    Symptom:
        Unable to access any site on the internal web server from workstations located within the network using the http proxy.
        Access from external locations through DNAT of external address works correctly.

    Cause:
        DNS resolutions will reference the external interface address (given by the external DNS).  When the http proxy is enabled this results in a loop as the external address of the ASG is trying to access itself.

    Resolution:
        By setting a static DNS entry in the ASG all references for the internal webserver will point to the correct internal address rather than the public address.

        ASG changes required:
        Go to Network >> DNS >> Static Entry
        This setting must be set For internal websites not working through the ASG proxy so that the DNS name is forwarded to the internal IP address instead of going to the external interface.

        Example:
        Hostname: www.mywebserver.com
        IP: 10.0.0.10
  • 0 in reply to Jack Daniel
    Thanks Jack, you saved me from turning to the other JD :-)
     
    Works a treat now.
     
    All the best,
     
    Chris
  • 0 in reply to chrismoo
    Agh spoke too soon.
     
    HTTP works fine but I cannot open any HTTPS pages on my webserver.
     
    Rule for HTTPS is set, nothing appearing in the log.  I guess it is because the proxy can't handle HTTPS?
     
    I do not have our network listed in the DNS Global page as we run AD DNS on our site and have local DNS servers.
  • 0 in reply to chrismoo
    Should add I have changed port for user portal so that 443 is okay for regular https traffic.  My OWA server works fine on 443 as does the webserver externally.
  • 0 in reply to chrismoo
    Your web proxy is in transparent mode? Then the DNS the client uses needs to have an appropriate entry referring to the internal IP.

    Can you access the HTTPS site by IP from the LAN?
  • 0 in reply to Jack Daniel
    The web proxy is on Transparent mode.  https works fine via IP address so it is how to get the local DNS reference for the webserver.  I tried via a Stub zone to do this but my ISP seems not to support my DNS server loading the zone so that I can then modify the www record.
  • 0 in reply to chrismoo
    You could point your clients to the Astaro for DNS resolution, just make sure the request routing points to your internal DNS for the appropriate domain(s).
  • 0 in reply to Jack Daniel
    So DNS should be Astaro assigned via DHCP and then the forwarders be my internal servers which will then forward to our ISP?
  • 0 in reply to chrismoo
    That is one option- try it with a couple of clients first.
  • 0 in reply to Jack Daniel
    Seemed to work great on a couple of workstations so that may be the key.
     
    Only issue was it broke my external web application so I am back to square one until I figure that one out!!!
     
    Thanks again for your help it is much appreciated!
     
    Chris
Reply
  • 0 in reply to Jack Daniel
    Seemed to work great on a couple of workstations so that may be the key.
     
    Only issue was it broke my external web application so I am back to square one until I figure that one out!!!
     
    Thanks again for your help it is much appreciated!
     
    Chris
Children
No Data