[Résolu]Rediriger vers un server web derriere une SME

[Knah Tsaeb]

Bonjour, j'ai une SME 7rc3 qui est régler en server et passerelle, sur lequel s'effectue la redirection de mon nom de domaine (web, ftp, mail). Celà fonctionne sans problème aussi bien en locale que depuis un accès distant, je peut m'y connecter en faisant http://www.moi.org/ ou encore http://www.moi.org/webmail. Mais ce que je souhaite c'est quand tapant http://www.moi.org/ je ne tombe pas sur ma SME mais sur un server à l'intérieur de mon réseaux donc derrière ma SME. Mais qu'en tapant http://www.moi.org/webmail je tombe bien sur ma SME.

J'ai tenter le réglage suivant.
Dans le server-manager dans la partie Gestion des noms d'hôte et des adresses j'ai régler comme suis

Nom d'hôte Emplacement Adresse IP Adresse Ethernet Action
ftp.moi.org Local 192.168.0.2
mail.moi.org Self 192.168.0.1
proxy.moi.org Self 192.168.0.1
sv-1.moi.org Self 192.168.0.1
wpad.moi.org Self 192.168.0.1
www.moi.org Local 192.168.0.2

192.168.0.1 ets bien sur l'adresse ip de ma SME et 192.168.0.2 celle de mon server web.

Et en fesant celà depuis mon réseaux local pas de pb je tombe sur le bon server web (pas ma SME), mais depuis l'exterieur je tombe sur la page web de ma SME.

Donc ma question est là suivante, comment doit-je régler ma SME, pour qu'elle redirige des requetes web sur mon server 192.168.0.2, tous en continuant d'etre accessible depuis l'exterieur pour la consultation des mail via cette adresse http://www.moi.org/webmail.


Merci d'avance

Knah Tsaeb

[Grand-Pa]

Ca ne me semble pas possible, mais regarde tout de même ce "bug".
Il y a peut-être quelque chose à en tirer. Si tu trouves ton bonheur, fais nous le savoir.

[jibe]

Salut,

Et en fesant celà depuis mon réseaux local pas de pb je tombe sur le bon server web (pas ma SME), mais depuis l'exterieur je tombe sur la page web de ma SME.

Ca me parait des plus normal !

Creuser la proposition de grand-pa est probablement intéressant. Mais je me demande si cela va résoudre tous les problèmes ?

En fait, je comprends mal ce que tu veux faire ?
http://www.moi.org/ -> Le serveur 2 doit répondre
http://www.moi.org/webmail -> SME doit répondre
http://www.moi.org/server-manager -> SME doit répondre (et si ton autre serveur est une SME ? Ok, ça n'a pas l'air d'être le cas... Et c'est vrai que là, on peut utiliser les IP)
http://www.moi.org/toto -> Qui doit répondre ?
http://www.moi.org/user-manager -> SME devra répondre si contrib installée (il peut y avoir d'autres cas similaires) (IP possibles)

Déjà rien que la définition des "redirections" n'est pas évidente, même si on utilise les IP là où c'est possible ! Quant à leur mise en oeuvre...

Question bête : pourquoi ne peux-tu vraiment pas utiliser le serveur web de la SME ?

Je pense que le problème est mal posé : je pense que mettre le site sur un second serveur est une solution pour tenter de résoudre certains impératifs, mais n'est pas un impératif en soi-même. Bien poser le problème et exposer les impératifs (réels !) permettrait peut-être de trouver d'autres solutions qui n'aboutiraient pas à une impossibilité (en supposant que la piste proposée par grand-pa n'aboutisse pas, mais si elle aboutit sera-t-elle une bonne solution ?).

[Pabze]

Bonjour,

Sous SME6 il existait dungog-vdomain.
Non GPL puisque faisant partie des contribs payante de dungog (Fonctionnel je confirme)
Elle permettait de rediriger un requête web soumisse à SME de la rediriger ailleurs.

Mais sous SME7 elle n'est pas encore disponible (ou ne le sera pas)
Qui plus est, elle ne devrait pas être GPL.

Pabze

[Knah Tsaeb]

Bonjour et merci pour vos réponses.

Grand-Pa :
Merci je vais regarder ça ce matin si j'ai le temps sinon ce sera ce soir à tête reposé.

Jibe :
Tu as tous compris

http://www.moi.org/toto -> Qui doit répondre ?

-> server 2

Question bête : pourquoi ne peux-tu vraiment pas utiliser le serveur web de la SME ?

-> et bien en faite mon deuxième server tourne sous Ubuntu, et me sert de server NFS sur mon réseaux local, donc je prefère pas qu'il soit directement accessible de puis le net. Ensuite je le trouve plus simple a administrer de manière général par rapport à SME. De plus en règles général il est plus simple de faire les mise à jour des paquets. Et puis au niveaux config mon server web est un peu plus robuste pour le traitement des requêtes sql, php, apache, NFS, FTP (Bi P3 1ghz, 1 go de ram) alors que pour la SME (céleron 800, 256mo de ram). Alors c'est là que tu me dit install SME sur ton Bi-pro et le tour est jouer.....et je te répond pourquoi pas, mais pas tous de suite, j'attends d'avoir un peu de recul sur SME. Ma Ubuntu tourne depuis 1 ans sans aucun pb, et je commence à la maîtriser. En même temps ma workstation à la maison est sous Ubuntu et pareil à mon taf, sa aide.

Mais ce que je n'arrive malheureusement pas à monter un server mail (faute de compétence, malgré les tutos qui traîne sur le net), et là je doit dire que SME est vraiment tip top pour sa. Et comme elle est très sécuriser, j'ai décidé qu'elle me servirait de router, pare feux et de server mail.

Pabze :
Merci pour cette piste, même si je suis pas très chaud pour payer, mais bon si vraiment le besoin s'en fait sentir pourquoi pas, je bookmark la page.


Solution moyenne mais qui fonctionne sans être totalement convainquant je l'admet

Gestion des noms d'hôte et des adresses
ftp.moi.org Local 192.168.0.2
mail.moi.org Self 192.168.0.1
proxy.moi.org Self 192.168.0.1
sv-1.moi.org Self 192.168.0.1
wpad.moi.org Self 192.168.0.1
www.moi.org Local 192.168.0.2

et je redirrige toutes les requêtes du port 80 sur mon server 2

Protocole Port(s) source Adresse IP de l'hôte de destination Port(s) de destination
TCP 80 192.168.0.2 80

Ouais c'est pas propre sa je sait

Le résultat :
En entrant http://www.moi.org ou http://moi.org depuis le lan ou depuis l'exterieur je tombe bien sur mon server web(Ubuntu). Pour accéder à mon server mail(SME) je tape https://www.moi.org/webmail ou https://moi.org/webmail celà fonctionne aussi bien depuis le lan que depuis l'extérieur.

Knah Tsaeb

[jibe]

Salut,

Premier point : je ne me suis probablement pas exprimé correctement dans mes exemples. Lorsque j'écrivais :

http://www.moi.org/toto -> Qui doit répondre ?

je voulais justement faire ressortir le fait que ce n'est pas toujours le serveur 2 qui doit répondre !

toto=tata : => serveur 2 doit répondre
toto=server-manager : serveur 1 doit répondre (mais tu peux contourner en utilisant les IP)
toto=webmail : => serveur 1 doit répondre, et si tu veux l'accès de l'extérieur (si tu ne l'as pas, tu voudras peut-être le mettre un jour) hors de question de contourner par les IP
toto=un sous-répertoire utilisé par une contrib que tu installeras peut-être un jour sur SME : serveur 1 devra répondre...

Donc, pour moi, à la base, la solution n'est pas bonne !

Autre argument : Pourquoi mettre une SME dont tu n'utilises finalement que le firewall et le serveur mail provisoirement ? Mets donc une IPCOP (je connais très mal, à vérifier si elle est bien adaptée) et ton serveur mail avec le serveur web ! ou mets une autre ubuntu en guise de firewall+mail+web !

de plus :

je prefère pas qu'il soit directement accessible de puis le net.

Ben... Pour moi, tu cherches à le mettre directement accessible depuis le net en essayant d'y mettre ton serveur web, qui plus est avec utilisation de PHP/MySQL !

et enfin :

je le trouve plus simple a administrer de manière général par rapport à SME.

j'attends d'avoir un peu de recul sur SME. Ma Ubuntu tourne depuis 1 ans sans aucun pb, et je commence à la maîtriser. En même temps ma workstation à la maison est sous Ubuntu et pareil à mon taf, sa aide.

En fait, tu es en train de me dire que tu as choisi cette architecture par manque de connaissance de la SME ! Et c'est là où ça m'inquiète : tu montes une usine à gaz et tu tentes de résoudre des problèmes liés à une architecture totalement inadaptée à tes besoins simplement pour contourner celui d'une méconnaissance de la SME !

Ou alors, je n'ai pas tout compris ?

Il me semble pourtant que ton problème est simple : tu as besoin d'un routeur/firewall, d'un serveur mail, d'un serveur web et d'un réseau local. La SME est l'idéal pour toutes les fonctions serveur (je fais l'impasse sur NFS, et c'est mauvais dans le sens où je ne prends pas le problème globalement. Mais je présuppose que ça ne changerait pas fondamentalement l'architecture du réseau), et elle est si simple à administrer qu'on ne met pas longtemps à la maitriser ! Il suffit d'accepter de bousculer un peu ses habitudes et de ne pas céder à la facilité de n'utiliser que ce qu'on connait.

Maintenant, tu as peut-être des besoins un peu plus spécifiques qui ne peuvent pas être satisfaits par une SME de base. S'il faut bidouiller, la SME est effectivement moins simple qu'une ubuntu. Reste à voir s'il est plus simple d'apprendre à monter un serveur mail sur une ubuntu ou à bricoler la SME pour l'adapter aux besoins...

Mais dans tous les cas, mettre un serveur web dans le lan est la pire des solutions du point de vue sécurité, et ne fait en plus dans ton cas que poser des problèmes sinon insolubles, au moins très complexes à résoudre... sauf à utiliser de la ficelle et du fil de fer : solution qui marche peut-être pratiquement, mais on ne sais ni trop comment (donc, sécurité non maitrisée) ni pour combien de temps

[Knah Tsaeb]

J'aime bien ton analyse, très simple et tellement vrai. Je ne peut que suivre le sens de ta pensé.

En ce qui concerne la facilité d'utilisation, je pense qu'il est toujours plus simple et rapide d'éditer un fichier à main plutot que de passer par un template (toujours à cause de la facilité).

Mais comme tu le dit si bien

Il suffit d'accepter de bousculer un peu ses habitudes et de ne pas céder à la facilité de n'utiliser que ce qu'on connait.

Et il est vrai que j'ai une tendance naturel a plonger dans la facilité. Je pense que je vait tous laisser comme c'est là et revoir intégralement l'organisation de mon parc informatique en fonction des machines que j'ai de dispo (puissance par rapport au besoin). Et ensuite voir ce qui est le mieux bien que j'ai déja quelque piste en tête.

Dans tous les cas je vous remercie tous pour vos conseils.

A très bientôt pour d'autre demande completement folles

[sibsib]

Hello,

Ta demande ne me parait tout de même pas complètement infondée J'aime bien l'explication de JiBé (Et moi aussi, je suis un fan de SME !) mais il me semble que le mode 'reverse proxy de SME devrait te permettre de réaliser çà.

J'ai écrit une page qui parle du reverse proxy, et il a été dit sur ce site que mes explications fonctionnaient toujours sur SME7. Attention : les explications, pas le lien vers l'install complète.

Là où j'ai quelques inquiétudes, c'est l'usage du nom www qui a tendance à être fagocité par SME.

Ce que je ferais :
1) Test du reverse proxy d'Apache en utilisant un nom genre www2 pour commencer.
2) Si çà marche, passage à www.

(Ceci ne retire rien à la nécessaire reflexion sur le bon choix de la solution à mettre en place...)

A+,
Pascal

[jibe]

Salut,

Tu as essayé l'architecture de Knah Tsaeb et son fonctionnement avec le reverse proxy, sibsib ? Je voulais tenter de réduire mon ignorance concernant ce reverse proxy, mais j'obtiens un sablier permanent quand je tente d'accéder à ton site

Bon, peut-être une panne de courant ?



@ Knah Tsaeb : Bon, je n'ai pas pu en savoir plus sur la solution que te propose sibsib, mais s'il te la propose, elle est certainement bonne. Mais comme il te le souligne lui-même, ça n'empêche pas de bien réfléchir à l'architecture : si cette solution fait moins "ficelle et du fil de fer", il reste pour moi qu'un serveur web dans un LAN est une grosse faille de sécurité... A moins que sibsib confirme (ici ou dans son site) qu'elle est assurée ?

[Knah Tsaeb]

Je n'est pas eu le temps de tester la solution de Sibsib, peut etre ce week end, si j'ai un peu de temps.

Sinon pour la sécurité, là je pensais, je dit pas que j'affirme, qu'un server web dans un lan était plus sécurisé dans le sens, où le server SME ne redirige que 2 port dessus le port 21 et 80. et de ce faite on pouvait me "hacker" plus difficilement. En même temps j'y connait rien, je suis pas un pirate . Alors que si la SME hébergeait directement le server web, des attaques pourraient être tenté en utilisant une faille de sécurité d'un autre prog ou d'un autre port, et ainsi permetre l'accès direct au Server SME. Alors que là je pensais que meme si un hacker arrivait à pénétrer la SME il auait plus de mal à pénétrer mon server web sur le Lan.

Mais bon je suis pas un pirate ni un pro de la sécu .

En tous cas je vous remercie une fois de plus pour vos commentaires constructifs (tssssss faut que j'arrête de passer de la pomade comme sa moi, sinon je vait pas m'en sortir).

Knah Tsaeb

[sibsib]

Hello,

JiBé, je faisais profil bas dans ce dossier : il y a quelques temps, un colisiter nous faisait remarquer (avec raison, je pense), qu'il s'agit d'un forum d'entraide, pas d'un forum de censure.
Dans cet état d'esprit, un membre fait une demande techniquement réalisable (enfin, probablement ) et je suggère une piste pour le réaliser.

Effectivement, hier la piste était en pointillé : la freebox s'est plantée deux fois, dont une fois ou personne n'est passé l'éteindre et la rallumer pendant 3 heures - Je précise que les plantages de freebox sont plutôt rares, mais là, peut-être pour la fête de la musique ? je ne sais pas !

Maintenant, d'un point de vue plus éloigné :
1) On peut se demander si au final, cette solution n'est pas un peu 'usine à gaz'. J'ai carrément éludé cette partie de la question : Quelles que soient les motivations de tout un chacun (par exemple, site corporate écrit en ISAPI sur base access sur Windows NT4), il me semble que SME doit(devrait) être en mesure de réaliser cette opération.
2) En terme de sécu, c'est clair, c'est une horreur : SME ne gère pas de DMZ, donc le serveur en question va être au même niveau que les postes (et eventuels autres serveurs) du site. Donc le moindre défaut du serveur WEB, et tout est compromis. Pire, comme le firewall de SME a tout de même plutôt bonne réputation (si, si - pas de troll !), il est à craindre une certaine baisse de la vigilance.
Donc cette solution passe par un blindage 'grave' du serveur WEB interne.

A+,
Pascal

[jibe]

Salut sibsib... et les autres bien sûr !,

Content de constater que ta freebox refonctionne... et de ne pas en avoir
(pour info, après moult problèmes de connexion - dont certains m'ont obligé à réutiliser durant plusieurs jours mon vieux modem 56K - j'ai fini par investir dans un vrai modem ADSL et virer la m*** fournie par Free qui ne fonctionne que s'il y a plus de signal que ce que prévoit la norme... Depuis, tout est Ok )

Je ne m'étais jamais penché jusqu'à ce soir sur cette possibilité de reverse proxy. Très intéressant ! Cela peut effectivement répondre à l'attente de Knah Tsaeb. Je l'invite quand même à lire très attentivement et à méditer sur la mise en garde que fait sibsib sous forme d'information importante en début d'exposé.

Deux petites choses dans ton post, sibsib, me font penser que, pour une fois, nous semblons ne pas être exactement sur la même longueur d'onde. Peut-être me suis-je mal exprimé ? En fait, je partage bien ton point de vue

JiBé, je faisais profil bas dans ce dossier : il y a quelques temps, un colisiter nous faisait remarquer (avec raison, je pense), qu'il s'agit d'un forum d'entraide, pas d'un forum de censure.
Dans cet état d'esprit, un membre fait une demande techniquement réalisable (enfin, probablement ) et je suggère une piste pour le réaliser.

Tout à fait d'accord : je ne me donne pas le droit de refuser une solution technique pour la seule raison qu'elle ne correspond pas à ma façon de concevoir les choses. Simplement, mes "convictions" (que j'exprime effectivement souvent avec passion ) font que j'ai rarement étudié des cas un peu tordus et que je suis bien en peine d'aider dans ces conditions. Il me parait important par contre d'amener à réfléchir sur des solutions alternatives qui me paraissent à la fois plus simples et plus fiables. C'est ce que j'ai tenté de faire ici. D'autant plus que la solution technique ne paraissait à priori pas très évidente en conservant l'architecture prévue, alors que tout peut être fait beaucoup plus simplement et sans prendre de risques au niveau de la sécurité (qui était un point mis en avant...).

Et c'est parce que de nombreuses (mon élan passionné me pousse à dire beaucoup trop ) questions ici sont dans un cas similaire que je "milite" pour une utilisation de la SME telle qu'elle a été prévue à l'origine et pour une révision de l'architecture qui est souvent plus simple et meilleure que l'obstination à vouloir résoudre des problèmes sans la remettre en cause même si elle en est l'origine.

Quelles que soient les motivations de tout un chacun (par exemple, site corporate écrit en ISAPI sur base access sur Windows NT4), il me semble que SME doit(devrait) être en mesure de réaliser cette opération.

Entièrement d'accord avec toi : je suis passionné par la SME, je crois savoir faire quelques trucs avec, j'en propose à mes clients et généralement, c'est moi qui administre celles que j'installe. Si une telle demande m'était faite, je ferais mon possible pour la réaliser.

Ceci dit, lorsque c'est quelqu'un qui avoue faire son site sur NT4 parce qu'il ne connait pas SME et que c'est lui qui devra installer et administrer celle-ci, je préfère l'orienter sur d'autres solutions. J'espère qu'on comprend que ce n'est pas pour censurer ni imposer quoi que ce soit ni par "anti-microsoftisme" déplacé...

[sibsib]

Hello,

JiBé, tu savais bien que je te taquinais !

En fait, il y a deux points complètement différents dans ce post :

1) Une demande technique (réalisation d'un reverse proxy, même si l'auteur du post ne savait pas que c'était çà qu'il voulait )
2) Une réflexion sur l'usage de SME.

Pour la question technique, une solution semblait possible : je l'ai proposée, et d'ailleurs j'aimerais assez savoir si cette solution fonctionne comme attendu.

Pour l'aspect réflexion : Je me demande si un forum est un endroit tout à fait adapté pour des réflexions de fond: je m'explique :
Au boulot, et ce sur au moins deux boites que j'ai connu assez longtemps pour vérifier ce phénomène, il faut généralement 2 ans entre le moment où une idée nouvelle (pour la boite) entre en maturation -c'est à dire qu'elle est comprise et admise par plus d'une personne- et le moment où cette idée devient réalité. Il s'agit là d'un environnement de personnes qui se connaissent et qui généralement bossent ensemble tous les jours.
Peut on penser (espérer) qu'un forum qui est un environnement moins 'clos' qu'une boite puisse être plus réactif ? Pour certains points concrets, c'est indéniable, mais pour le conceptuel, c'est peut-être moins évident.

Ceci dit, il faut tout de même proposer des axes de réflexions ! Sinon, c'est la mort Mais il ne faut à mon avis que proposer.
Plutôt : il est hyper important d'échanger aussi sur le conceptuel ! Il faut par contre éviter les positions trop tranchées, qui coupent les échanges. Donc, il est quasi impossible d'arriver à un consensus, la diversité d'un forum étant incompatible avec la pensée unique (et heureusement !)

Ouh la la, quelle prose (ya encore quelqu'un ???)

A+,
Pascal

[jibe]

Salut,

JiBé, tu savais bien que je te taquinais !

Je n'en doutais pas vraiment, mais j'ai été un peu surpris par certains de tes commentaires...

Tes explications sont éclairantes (ça se dit, ça ? ) et convaincantes ! Certes, 2 ans dans une boite, alors pour convaincre les trolleurs sur un forum, il en faudra bien 200 Je compte bien vivre vieux, mais ne suis pas tout à fait certain d'arriver jusque là

Il faut par contre éviter les positions trop tranchées, qui coupent les échanges.

J'ai apporté la preuve que non en 2 topics pour un total de 112 posts (sans parler des annexes et MP, y compris sur d'autres forums)
Mais bon, tu as raison, j'ai des positions trop tranchées... Ou plus exactement, pas l'art de me faire comprendre Mais au final, ça revient au même...

Plus sérieusement, et pour recentrer sur le sujet, il y a deux choses que j'aimerais bien savoir :

d'ailleurs j'aimerais assez savoir si cette solution fonctionne comme attendu.

Moi aussi... Bien que je poserais la question différemment : Knah Tsaeb l'a-t-il adoptée ou a-t-il préféré se ranger à mon avis ?
Ca m'intéresse parce que, si je reste convaincu qu'une SME en frontal dans ce cas reste une solution meilleure et plus simple à mettre en oeuvre, je trouve cette histoire de reverse proxy une solution assez simple si on tient absolument à garder l'architecture existante..

Et second point, j'aimerais bien savoir, pour ma gouverne personnelle, si j'ai eu ou non une position trop tranchée sur ce coup ?

Dire que j'avais presque convaincu Knah Tsaeb, et il a fallu que sibsib passe par là...

[sibsib]

Et second point, j'aimerais bien savoir, pour ma gouverne personnelle, si j'ai eu ou non une position trop tranchée sur ce coup ?

Dire que j'avais presque convaincu Knah Tsaeb, et il a fallu que sibsib passe par là...

Tu n'as je pense pas été trop tranchant : tu as apporté un éclairage, j'ai cherché une solution

A nous deux, nous devrions avoir permis à Knah Tsaeb d'avoir trouvé sa voie. Et au final, c'est sa voie qui sera la bonne, quels que soient nos radotages (Ce qui me parait une fort bonne conclusion, en fait...)

A+,
Pascal