ipcop 1.3.0 2eme serveur http

par **tonic23** » 26 Mai 2003 17:13

comment puis je rajouter un 2eme serveur http(donc une autre ip) dans ma DMZ et pouvoir ouvrir sur celui ci le port 80 . a priori ipcop n'autorise pas a forwarder le port 80 sur 2 adresses ip differentes. est il possible de rentrer la regle iptables a la main si oui dans quel fichier et avec quelle synthaxe? merci d'avance.

par **tomtom** » 26 Mai 2003 17:50

IPCop n'est pas un génie... Comment peut-il deviner vers quel serveur tu veux te connecter ? Tout ce qu'il sait faire, c'est router un paquet qui lui arrive sur le port 80 vers une autre ip eventuellement sur le port 80 aussi. Je te propose les solutions suivantes : 1- tu utilises un autre port, mais les gens qui se connectent doivent le connaitre... 2- tu utilises les servuers virtuels d'apache, ce qui fait que le serveur saura reconnaitre le nom avec lequel ili est adressé, et ansi tu mets 2 serveurs web sur le même apache.... 3- tu attends que lucyfire ou moi-même ayons réussi à compiler un noyau pour faire fonctionner le module strind de iptables, pour pouvoir reconnaitre le nom de l'un des serveurs et eventuellement router vers le bon alors (en sachant que cela est gourmand en CPU et assez limité...) Thomas

par **titchek** » 26 Mai 2003 17:51

C'est quoi le but ?? Car s'il s'agit de gerer 2 sites différents, tu peux le faire avec Apache, avec les directives VirtualHost (et tu n'as pas besoin de 2 adresses IP défférentes). De mémoire la directive VirtualHost fonctionne en Apache 1.3 et en 2.0, par contre en 2.0, je n'ai pas encore bien regardé les fichiers de config car il existe maintenant une directoty Virtualhost contenant des fichiers Virtualhost, fichiers qui doivent être inclus dans httpd.conf au démarrage d'Apache. Je suis en train de regarder ça dans la doc donc je ne suis pas tout à fait sûr ! Bonne journée

par **titchek** » 26 Mai 2003 17:53

Désolé Tomtom, je n'avais pas vu ta réponse... la mienne fait double emploi...

par **wann** » 26 Mai 2003 18:00

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-05-26 17:13, tonic23 a écrit: comment puis je rajouter un 2eme serveur http(donc une autre ip) dans ma DMZ et pouvoir ouvrir sur celui ci le port 80 . a priori ipcop n'autorise pas a forwarder le port 80 sur 2 adresses ip differentes. est il possible de rentrer la regle iptables a la main si oui dans quel fichier et avec quelle synthaxe? merci d'avance. </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> En lisant la doc concernant l'IP aliasing... Note qu'il faut avoir plusieurs IP publiques statiques pour utiliser cette fonctionnalité. Sinon, il te faudra utiliser la technique de VirtualHost de Apache. Donc au niveau de ton serveur Web , et pas de ton IPCop.

par **titchek** » 26 Mai 2003 18:11

Sauf erreur de ma part, je ne pense pas que l'IPaliasing soit la solution. L'ipaliasing va permettre de créer 2 adresses IP (ou plus exactement 1 adresse et une sous-adresse sur la même carte ETHx). Si j'ai bien compris, là n'est pas la question car que l'on cherche à adresser avec IPcop 2 adresses sur 2 cartes ETH ou 2 adresses sur une seule carte ETH, le problème reste entier : comment forwarder sur 2 IP différentes... A ma connaissance, ce n'est pas faisable (naturellement ?) dans IPcop. Bonne soirée

par **tomtom** » 26 Mai 2003 18:37

C'est possible, mais il faut trouver un critère de tri. Ex : sur l'ip source... Mais la je ne pesne pas que ce soit le but.... Quand à l'aliasing, c'est vrai que cela peut fonctionner. (attention, on ne parle pas ici d'alias pour le cote orange mais pour le coté red). La i lest alors tout à fait possible de faire ce que tu souhaites... Encore faut-il posseder deux ip publiques, ce qui n'est pas le cas d ebeaucoup de monde. Thomas

par **tonic23** » 26 Mai 2003 20:03

c'est bien de 2 serveurs differents qu'il s'agit. donc 2 carte eth avec 2 ip differentes dans le meme reseau bien entendu!! a priori les transferts de ports inscrits dans l'interface cgi sont dans un fichier dans /var/ipcop/... avec tous les fichiers demain essai avec 1 forward du port ecrit dans le fichier (a mano)... + test on verra bien si cela tourne........

par **tomtom** » 26 Mai 2003 20:15

Ce n'est pas la peine de tester, ca ne fonctionnera pas.... Le forward de port fonctionne de la manière suivante : un paquet arrive sur l'interface red: Ip destination : ip publique d'ipcop (fournie par le FAI), Port destination : 80 il traverse une chaine de netfilter appelée prerouting (tu peux voir ca dans le fichier grace à la syntaxe iptables : iptables -t nat -A PREROUTING. prerouting, cela veut dire "avant d'etre routé". Donc avant de savoir ou il va l'envoyer par le mecanisme classique de routage, il traverse cette chaine. En général, on matche alors sur le port destination. Typiquement, tu vas avoir ceci : iptables -t nat -A PREROUTING -i $IFACE_RED --dport 80 le $IFACE_RED, c'est pour dire que ca ne marche qu'avec les paquets arrivant du red (ben oui, on ne veut pas forwarder pour le green. Si on veut quand même le faire, il suffit de supprimer le -i $IFACE_RED) ensuite, on dit quoi faire... Completons donc ntre règles : iptables -t nat -A PREROUTING -i $IFACE_RED --dport 80 -j DNAT --to 192.168.1.5:80 avec bien sur 192.168.1.5 l'adresse de ton serveur web. Cette règle est générée automatiquement par le GUI. Toi, tu veux en rajouter une (disons exactement la même, mais vers le serveur 192.168.1.10) iptables -t nat -A PREROUTING -i $IFACE_RED --dport 80 -j DNAT --to 192.168.1.10:80 ben oui, mais le problème c'est que dès que iptables a trouvé un truc qui colle, il fait ce qui est dit puis il arrête.... En clair, si tu fais ça, il continuera de tout envoyer vers le premier serveur. Si tu mets ta règle avant, il enverra vers le deuxième... Mais comment veux-tu qu'il choisisse vers lequel envoyer ???? Soit tu lui donne un paramètre (je ne sais pas moi, toutes les ip 10.10.10.10 vont vers serveur A, les autre vers serveur B.. par exemple) soit tu essaye de faire du load balancing (un truc aléatoire, ou alors un paquet sur deux pour chaque serveur...) Soit tu detectes l'adresse rentrée dans le browser (module string de iptables) et pour ça tu te reportes aux messages concernat le module string soit tu renvoies tout vers un seul serveur, mais celui-ci detecte ce qui est tapé ddans la barre d'adresse (virtual hosts) et eventuellement il redirige ce qui n'est pas pour lui vers un autre.... Ce sont tes seules possibilités ! Thomas

ipcop 1.3.0 2eme serveur http

Qui est en ligne ?