अध्याय 04
नेटवर्किंग, DNS & क्रिप्टो
एडमिन:
#pNetwork
pfSense, OPNsense, HAProxy & SSL गेटवे के पीछे संचालन
कई एंटरप्राइज़ परिनियोजन अपने वेब सर्वर और nextxch को साझा परिधि फ़ायरवॉल (pfSense, OPNsense, Sophos) या SSL/HAProxy गेटवे के पीछे आंतरिक VLAN में चलाते हैं। Hairpin NAT (NAT Reflection) के बिना, नेटवर्क के अंदर से आपके अपने सार्वजनिक WAN IP पर भेजे गए पैकेट गेटवे पर टाइम आउट हो जाते हैं।
संचालन सुझाव और आर्किटेक्चर नोट
साझा गेटवे के पीछे पोर्ट जाँच पहले 'Timeout' क्यों रिपोर्ट करती थी? जब जाँच NAT reflection के बिना उसी pfSense फ़ायरवॉल के पीछे से शुरू होती थी, तो WAN loopback पैकेट गिर जाते थे, भले ही बाहरी इंटरनेट क्लाइंट ठीक से कनेक्ट होते थे। nextxch v1.2.4 इस टोपोलॉजी को स्वचालित रूप से पहचानता है और इसकी क्षतिपूर्ति करता है।
pfSense / OPNsense अनुशंसित Split-DNS & प्रॉक्सी सेटिंग्स
Split-DNS आंतरिक उपयोगकर्ताओं के लिए WAN हेयरपिन हॉप समाप्त करता है और वास्तविक LAN स्रोत IP को सुरक्षित रखता है।
# 1. pfSense -> Services -> DNS Resolver -> Host Overrides:
Host: mail Domain: firma.de IP: 172.16.0.55 (Interne LAN/DMZ-IP)
# 2. Reverse-Proxy (Nginx / HAProxy) Timeout für ActiveSync Ping (TCP 443):
proxy_read_timeout 960s;
proxy_send_timeout 960s;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;सेटिंग्स, डिफ़ॉल्ट मान और बेस्ट प्रैक्टिस
| सेटिंग / स्थान | विवरण | डिफ़ॉल्ट मान | उत्पादन बेस्ट प्रैक्टिस |
|---|---|---|---|
pfSense / OPNsense: Split-DNS (DNS Resolver) |
आंतरिक क्लाइंट और सहयोगी सर्वरों के लिए mail.company.com को WAN के माध्यम से हेयरपिनिंग के बजाय सीधे आंतरिक LAN/DMZ IP (उदा. 172.16.0.55) पर रिज़ॉल्व करता है। | Im Gateway konfigurieren |
अनुशंसित #1 बेस्ट प्रैक्टिस! शून्य-हॉप गति और वास्तविक क्लाइंट IP के लिए Unbound/DNS Resolver में एक Host Override जोड़ें जो mail.company.com को आंतरिक LAN IP से मैप करे। |
pfSense: NAT Reflection (Pure NAT) |
जब Split-DNS का उपयोग नहीं होता, तब आंतरिक होस्ट को सार्वजनिक WAN IP के माध्यम से पोर्ट-फ़ॉरवर्ड की गई WAN सेवाओं तक पहुँचने देता है। | Deaktiviert in pfSense |
यदि आंतरिक होस्ट को सार्वजनिक WAN IP तक पहुँचना है, तो System -> Advanced -> Firewall & NAT के अंतर्गत Reflection के लिए Pure NAT + Automatic Outbound NAT सक्षम करें। |
SSL-Gateway / Reverse-Proxy für Port 443 |
एज गेटवे (HAProxy / Nginx) पर HTTPS को समाप्त करता है और Webmail, एडमिन, CalDAV/CardDAV और ActiveSync को nextxch पर अग्रेषित करता है। | Direkt oder Reverse-Proxy |
ActiveSync Ping लॉन्ग-पोलिंग के लिए गेटवे रीड/आइडल टाइमआउट को >= 900s तक बढ़ाएँ और X-Forwarded-For + X-Forwarded-Proto हेडर अग्रेषित करें। |
Smtp/Imap:EnableProxyProtocol (HAProxy v2) |
TCP पोर्ट 25, 465, 587 और 993 पर HAProxy PROXY Protocol v1/v2 हेडर से वास्तविक रिमोट क्लाइंट IP निकालता है। | false (Direktes NAT) |
मानक pfSense/iptables DNAT पोर्ट फ़ॉरवर्ड (जो पहले से स्रोत IP बनाए रखते हैं) के लिए FALSE रखें! केवल तभी सक्षम करें जब HAProxy स्पष्ट रूप से send-proxy-v2 भेजता हो। |