Capítulo 04 Redes, DNS & criptografía Admin: #pNetwork

Funcionamiento detrás de pfSense, OPNsense, HAProxy & gateways SSL

Muchas implementaciones empresariales ejecutan su servidor web y nextxch en VLAN internas detrás de un firewall perimetral compartido (pfSense, OPNsense, Sophos) o de un gateway SSL/HAProxy. Sin Hairpin NAT (NAT Reflection), los paquetes enviados desde dentro de la red a su propia IP WAN pública agotan el tiempo de espera en el gateway.

Consejo operativo y nota de arquitectura

¿Por qué las comprobaciones de puertos informaban antes 'Timeout' detrás de gateways compartidos? Cuando la sonda se originaba detrás del mismo firewall pfSense sin NAT reflection, los paquetes de loopback WAN se descartaban aunque los clientes externos de Internet se conectaran sin problemas. nextxch v1.2.4 detecta y compensa esta topología automáticamente.

pfSense / OPNsense: configuración recomendada de Split-DNS & proxy

Split-DNS elimina los saltos hairpin por la WAN para los usuarios internos y conserva las IP de origen reales de la LAN.

Referencia / configuración

# 1. pfSense -> Services -> DNS Resolver -> Host Overrides:
Host: mail    Domain: firma.de    IP: 172.16.0.55 (Interne LAN/DMZ-IP)

# 2. Reverse-Proxy (Nginx / HAProxy) Timeout für ActiveSync Ping (TCP 443):
proxy_read_timeout 960s;
proxy_send_timeout 960s;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;

Configuración, valores predeterminados y buenas prácticas

Ajuste / ubicación	Descripción	Valor predeterminado	Buena práctica de producción
`pfSense / OPNsense: Split-DNS (DNS Resolver)`	Resuelve mail.company.com directamente a la IP interna de la LAN/DMZ (p. ej., 172.16.0.55) para los clientes internos y los servidores vecinos, en lugar de hacer hairpinning a través de la WAN.	`Im Gateway konfigurieren`	¡Buena práctica n.º 1 recomendada! Añada una anulación de host en Unbound/DNS Resolver que asigne mail.company.com a la IP interna de la LAN para obtener velocidad sin saltos adicionales y las IP reales de los clientes.
`pfSense: NAT Reflection (Pure NAT)`	Permite a los hosts internos acceder a servicios WAN con reenvío de puertos a través de la IP WAN pública cuando no se usa Split-DNS.	`Deaktiviert in pfSense`	Si los hosts internos deben acceder a la IP WAN pública, active Pure NAT + Automatic Outbound NAT for Reflection en System -> Advanced -> Firewall & NAT.
`SSL-Gateway / Reverse-Proxy für Port 443`	Termina HTTPS en un gateway perimetral (HAProxy / Nginx) y reenvía Webmail, Admin, CalDAV/CardDAV y ActiveSync a nextxch.	`Direkt oder Reverse-Proxy`	Aumente los tiempos de espera de lectura/inactividad del gateway a >= 900 s para el long polling Ping de ActiveSync y reenvíe los encabezados X-Forwarded-For + X-Forwarded-Proto.
`Smtp/Imap:EnableProxyProtocol (HAProxy v2)`	Extrae la IP real del cliente remoto de las cabeceras HAProxy PROXY Protocol v1/v2 en los puertos TCP 25, 465, 587 y 993.	`false (Direktes NAT)`	¡Mantenga FALSE para las redirecciones de puertos DNAT estándar de pfSense/iptables (que ya conservan las IP de origen)! Actívelo SOLO cuando HAProxy envíe explícitamente send-proxy-v2.