Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 8 replies
  • Subscribers 1 subscriber
  • Views 8428 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

reverse proxy internal and DMZ webservers to internal and public facing clients

mahaddon
Hi
wondered if someone could help me out with pointers on how to reverse proxy both internal and DMZ webservers to both internal and public clients?
I'm migrating from backend TMG2010 to a backend Sophos UTM and I think I'm still thinking as a TMG admin and I'm finding the documentation to be too vague.

The UTM is dual homed with an Internal NIC and a DMZ NIC
Example for reverse proxying HTTP website from webserver on DMZ to internal network clients

Real webserver
-Create real webserver host with IP address (on DMZ) and select > interface or select DMZ interface?
-Create real webserver selecting this new real webserver host
-Create virtual webserver selecting DMZ interface, adding published website domain and selecting real webserver

Firewall rules
NOTE this is a backend server so shouldn't need to worry about NAT.  The edge firewall will NAT between the public IP and the UTM DMZ interface
-Do I need to create firewall rule allowing to allow clients access to the UTM or to the webservers or will UTM create these automatically?
-Do I need to worry about routing on the UTM?  On TMG I'd create a local route that routed either to the Internal NIC or the DMZ NIC so that the  TMG could route client requests.

Additional IPs
-On TMG I'd use additional VIPs on the Internal and DMZ networks for website listeners and create DNS hosts in Internal and Public DNS to resolve to these additional IPs to point clients to the relevant TMG listener IP.  I can't see how to do this on UTM though.  I can add the additional interface IPs (and I worked out that the additional IPs need to be on the same gateway as the interface) but if the Virtual webserver uses the interface that the webserver is on (in this case DMZ interface) then where does the additional IP come in?  And what do I put in my Internal DNS? 

cheers
Mark


This thread was automatically locked due to age.
  • 0
    Hi, Mark, and welcome to the User BB!

    First, check #3 in Rulz.

    For a web server in the DMZ, create the Real Server as you described, but don't put a Virtual Server on the DMZ interface, put it instead on the Internal interface for your internal users to reach.  You can use an Additional Address on that interface if you prefer.  WebAdmin will have created the routes and "invisible" firewall rules needed.

    I'm a little confused about where the outside world comes in from the edge router.  If it does come in on the DMZ interface, you will need to duplicate the Virtual Server configuration there, too.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    thanks for your help Bob

    We don't put any of our reverse proxies on the edge.  We use a backend reverse proxy solution as an extra layer. 

    So for TMG for example, we just have a NAT rule from the public facing IPs on the edge firewall to the DMZ interface of the TMG which is dual homed on Internal and DMZ networks.

    For example, internal DNs resolves to the additional IP on the TMG Internal interface and public DNS resolves to a public facing IP on the edge that NATs to the additional IP on the TMG DMZ interface.

    That's my main problem.  Trying to configure UTM in a similar scenario
  • 0
    and thanks.  I did read #3 in Rulez and went back and changed my hosts to Any Interface.
    My guess is that I'm going to have to create 2 virtual servers for each reverse proxied website.  One for internal access and one for external access.  Also starting to think that I'll ditch as much of the internal access reverse proxying as I can.
  • 0
    Yep been looking at this again and I'm still not getting it working.  It keeps coming back to a No route to host error in the Webserver Protection log and the real webserver has a small yellow alert icon beside it in the virtual webserver.
    Real webserver is using any interface and the IP is on the DMZ (actually on the same DMZ network that the UTM DMZ interface is on)
    Virtual webserver interface is an additional IP on the internal interface

    It seems to me that the internal users can get to the UTM listener via the additional IP on the internal interface but can't then get through the UTM to the real webserver.

    I ran a traceroute on the UTM and it did use the DMZ interface on the UTM to get to the DMZ real webserver which makes me think that the routing is ok.
  • 0
    The UTM works just fine to substitute for the TMG.  Are you sure that the web server has the IP of "DMZ (Address)" as its default gateway?  The Real Webserver uses a Host definition containing the actual IP on the host, not an IP on the UTM's DMZ interface, right?

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0
    Yep the Real Webserver IPv4 Address is the actual IP address of the host webserver.
    Not 100% clear on your first question so I'll give a few answers in the hope that I get it right  [:)]
    The actual host webserver is on the same network segment as the UTM DMZ interface IP however the actual host webserver default gateway isn't the IP of the UTM DMZ interface.  It's the ###.###.###.1 IP for that network segment.
    I have also configured the UTM default gateway on the Internal interface not the DMZ interface.
    One thing I have noticed though is that when my server team colleague created the virtual UTM appliance on our HyperV environment they chose the eth1 nic as the Internal Interface which left the eth0 nic for my DMZ interface.  I've spotted some posts advising choosing eth0 for the Internal Interface.  Does this warrant a rebuild?
  • 0
    Yes, I thought it sounded like a routing problem, Mark.  Since I don't know your topology or your requirements, I don't know if changing the web server's default gateway to the UTM is the right solution.  Maybe a route in the edge router.  Maybe a route in the web server. ???

    No rebuild required, it's just the usual way to configure so that support and others can orient themselves quickly.  I don't know which virtualization technology you're using, but it should be easy to switch the interfaces there and in WebAdmin.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0
    cheers Bob

    I ended up trashing my test box and starting again.  For my replacement build I set the default gateway on the DMZ (external) interface and after setting up some static routes to route internal networks through the internal interface everything seems to be working fine and dandy
Unfiltered HTML