第 04 章网络、DNS & 加密管理：#pNetwork

在 pfSense、OPNsense、HAProxy & SSL 网关后运行

许多企业部署将 Web 服务器和 nextxch 置于内部 VLAN 中，位于共享的边界防火墙（pfSense、OPNsense、Sophos）或 SSL/HAProxy 网关之后。如果没有 Hairpin NAT (NAT Reflection)，从内网发往您自己公网 WAN IP 的数据包会在网关处超时。

运维提示与架构说明

为什么端口检查以前在共享网关后会报告 'Timeout'？当探测从同一 pfSense 防火墙后方发起且未启用 NAT 反射时，WAN 回环数据包会被丢弃，尽管外部互联网客户端可以正常连接。nextxch v1.2.4 会自动检测并补偿这种拓扑。

pfSense / OPNsense 推荐的 Split-DNS & 代理设置

拆分 DNS 为内部用户消除 WAN 回流跳转，并保留真实的 LAN 源 IP。

参考 / 配置

# 1. pfSense -> Services -> DNS Resolver -> Host Overrides:
Host: mail    Domain: firma.de    IP: 172.16.0.55 (Interne LAN/DMZ-IP)

# 2. Reverse-Proxy (Nginx / HAProxy) Timeout für ActiveSync Ping (TCP 443):
proxy_read_timeout 960s;
proxy_send_timeout 960s;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;

设置、默认值与最佳实践

设置 / 位置	说明	默认值	生产环境最佳实践
`pfSense / OPNsense: Split-DNS (DNS Resolver)`	为内部客户端和同级服务器将 mail.company.com 直接解析为内部 LAN/DMZ IP（例如 172.16.0.55），而不是经由 WAN 回环。	`Im Gateway konfigurieren`	推荐的头号最佳实践！在 Unbound/DNS Resolver 中添加主机覆盖，将 mail.company.com 映射到内部 LAN IP，实现零跳转速度并获得真实客户端 IP。
`pfSense: NAT Reflection (Pure NAT)`	未使用拆分 DNS 时，允许内部主机通过公网 WAN IP 访问已做端口转发的 WAN 服务。	`Deaktiviert in pfSense`	如果内部主机必须访问公网 WAN IP，请在 System -> Advanced -> Firewall & NAT 下为 Reflection 启用 Pure NAT + Automatic Outbound NAT。
`SSL-Gateway / Reverse-Proxy für Port 443`	在边缘网关（HAProxy / Nginx）上终止 HTTPS，并将 Webmail、管理、CalDAV/CardDAV 和 ActiveSync 转发给 nextxch。	`Direkt oder Reverse-Proxy`	为支持 ActiveSync Ping 长轮询，将网关读取/空闲超时提高到 >= 900 秒，并转发 X-Forwarded-For + X-Forwarded-Proto 标头。
`Smtp/Imap:EnableProxyProtocol (HAProxy v2)`	在 TCP 端口 25、465、587 和 993 上从 HAProxy PROXY 协议 v1/v2 头中提取真实的远程客户端 IP。	`false (Direktes NAT)`	对于标准的 pfSense/iptables DNAT 端口转发（本身已保留源 IP），请保持 FALSE！仅当 HAProxy 明确发送 send-proxy-v2 时才启用。