Serverbetrieb - Öffentliche IP-Adressen

[Domsi]

Hi!

Bisher hatten wir für unsere Firma einen eigenen Webspace bei einem Provider in Deutschland gemietet. Wir möchten jetzt gerne unseren eigenen Webserver aufstellen.

Heute war ein Techniker von der Telekom bzw. jetzt A1 bei uns und hat mit einem neuen Router einen synchronen 8MBit Anschluss konfiguriert. Als Subnetzmaske haben wir "255.255.255.248" bekommen. Somit haben wir 2^3-2 = 6 IP-Adressen zur Verfügung. Der Router ist ein Buisness-Router von A1, wodurch wir diesen nicht konfigurieren können.

Hinter dem Router ist am WAN-Anschluss ein "d-link DIR-635" angeschlossen.

Am Webserver ist Softwaremäßig soweit alles fertig. Es geht jetzt um die Verbindung nach außen.
Auf dem Server laufen momentan 2 Web-Anwendungen:
192.168.0.230 = Webanwendung 1
192.168.0.231 = Webanwendung 2

Bisher hatte ich einfach einen "Virtuellen Server" am d-link eingerichtet. Somit hatte ich folgende Regelung:
192.168.0.230 = DMZ am d-link ==> Webanwendung 1 (Somit kann ich auf http - Standarport 80 zugreifen)
80.122.25.XXX:98 = Webanwendung 2 (Öffentlich Port 98, Privat 192.168.0.231:80)

In späterer Zukfunt (wenn alles fertig konfiguriert ist) sollen verschiedene Domänen mit den Web-Anwendungen verbunden werden, sprich:
http://www.Domäne1.at = Webanwendung 1
http://www.Domäne2.at = Webanwendung 2

Leider habe ich mit Serverbetrieb, Router usw. noch nicht sehr viel Ahnung und ich dacht mir, um das realisieren zu können brauch ich pro Domäne bzw. Webanwendung eine eigene öffentliche IP-Adresse.
(Wie gesagt die Domänen werden erst auf unseren Anschluss umgemeldet, sobald alles konfiguriert ist).

Falls ich damit (Pro Webanwendung bzw. Domäne eine eigene öffentliche IP-Adresse) falsch liege, dann korrigiert mich bitte und hoffe ihr könnt mir gleich die entsprechenden Tipps geben, wie man das lösen kann (Pro Domäne 1 Webanwendung).

Wie kann ich jetzt eine öffentliche IP-Adresse auf eine Private IP-Adresse umlenken. Also zum Beispiel (Die IP's sind frei erfunden)
80.122.25.100 (öffentlich) = 192.168.0.230 = Webanwendung 1
80.122.25.101 (öffentlich) = 192.168.0.231 = Webanwendung 2

Kann ich das mit meinem "d-link DIR-635" überhaupt machen? Wenn ja was muss ich dazu machen/einstellen?
Wenn das mit diesem Router nicht möglich ist, welches Gerät brauche ich dann? Was muss es können damit es möglich ist?

Ich hätte ja selber im Internet danach gesucht, aber nach was sucht man, wenn man nicht weiß was man suchen soll. Ich habe zwar ein bisschen gesucht, aber mehr planlos in der Hoffnung dass ich zufällig auf etwas stoße, was mir helfen könnte. Das Problem ist halt, dass ich mich damit noch nie beschäftigt habe und daher auch nicht weiß nach was ich suchen muss.

Fragen über Fragen , ich hoffe es kann mir hier jemand weiterhelfen.

Mfg,
Domsi

[lordpeng]

>Leider habe ich mit Serverbetrieb, Router usw. noch nicht sehr viel Ahnung
dann solltest du jemanden fragen, der sich damit auskennt und die finger davon lassen ...

>und ich dacht mir,um das realisieren zu können brauch ich pro Domäne bzw. Webanwendung eine eigene öffentliche IP-Adresse.
falsch gedacht du kannst wenn du lustig bist 5000 domains auf eine IP legen ...

>Ich hätte ja selber im Internet danach gesucht, aber nach was sucht man,
>wenn man nicht weiß was man suchen soll.
die dokumentation des von dir favorisierten webservers wär schonmal ein ganz heisser tip

[Domsi]

Vielen Dank für deine super Hilfe^^

dann solltest du jemanden fragen, der sich damit auskennt und die finger davon lassen ...

Ok gut werde ich machen, ich ruf bei A1 an und sag sie können den neuen Router wieder holen, mir wurde von einer sehr kompetenten Person (noch dazu Moderator) gerate ich soll die Finger davon lassen und das Leute machen lassen die sich auskennen. Es ist vermutlich am einfachsten, wenn ich es einfach bleiben lasse und den Webspace beim Provider behalte.

Oder noch besser, ich stelle eigens einen neuen Mitarbeiter an, der mir den Interentzugang konfiguriert... noch eine bessere Idee. *kopfschüttel*

Ich hoffe nur dass du in deinem Job keinen Kundenkontakt hast, weil dann tut mir 1. die Firma leid in der du angestellt bist und 2. die Kunden.

Bist du vielleicht mal auf die Idee gekommen, dass wir in der Firma einfach selber einen Server betreiben möchten (kann man ja wohl klar zu Beginn lesen). Es war ja auch nie die Rede davon, dass ich heute so mal nebenbei diese Idee hatte und dass dann einfach spontan beschlossen habe und der Server morgen online im Betrieb sein soll.

Wir MÖCHTEN einen eigenen Server betreiben und das heißt ich will NICHT DIE FINGER DAVON LASSEN... sondern ich will das selber machen, mich damit beschäftigen, Erfahrung sammeln usw.

Nachdem ich keine Ahnung davon habe, kann ich das nur alles Schrittweise lernen und mich informieren.
Wenn alles fertig ist, alles konfiguriert ist. Datensicherheit, Firewall usw. was alles dazu gehört fertig ist.... DANN wird der Server offiziell in Betrieb genommen.
Was hast du also daran auszusetzen wenn ich alle diese Schritte mache, mich hiermit 1/2 Jahr bis 1 Jahr damit intensiv beschäftige und dann Server offziell in Betrieb nehme? Warum sollte ich die Finger davon lassen, wenn ich mich dabei auskennen möchte? Was geht das dich überhaupt an?

Irgendwo muss ich mal anfangen meine Infos zu holen, ich dachte halt das kann man in diesem Forum.

Naja anscheinend ist es in diesem Forum nicht erwünscht dass sich Leute informieren und neues Lernen. Nachdem du ja Moderator bist, kannst du dieses Thema auch direkt wieder schließen. Ich finde es eine Frechheit wie hier "Forummitarbeiter" mit Neulingen umgehen, und habe auch gar keine Lust hier noch irgendwas zu Posten. Ich such mir ein anderes Forum, wo die User gewollt sind mir zu helfen.

Du brauchst dir gar nicht die Mühe machen und eine Antwort zu verfassen. Ich kann auf deine Meinung getrost verzichten und ich werde dieses Forum auch gar nicht mehr besuchen, eine Antwort ist daher sinnlos weil ich sie nicht lesen werde... weil ich das ganze Forum nicht mehr besuchen werde.

Vielen Dank fürs Nichtstun.

Domsi

PS: Auch wenn du alles löscht, ich hab mir das hier alles gespeichert und werde es an die Administratoren weiterleiten, damit diese sehen können, wie hier mit neuen Usern umgegangn wird. (Falls du auf die Idee kommst das alles zu löschen)

[Domsi]

die dokumentation des von dir favorisierten webservers wär schonmal ein ganz heisser tip

Es geht hier nicht um den Webserver... FTP, Webserver usw. laufen schon lokal ohne Problem...
es wäre hier rein um die Verbindung zwischen öffentlichen Netz und internen Netz gegangen...

aber wie gesagt, weitere Antworten sind sinnlos ich werde hier nicht mehr reinschauen.

[lordpeng]

>Vielen Dank fürs Nichtstun.
IMHO hab ich dir eigentlich 3 gute hinweise gegeben ...

1. du brauchst nicht für jede domain eine eigene IP

2. du solltest dir die dokumentation des von dir bevorzugten webservers zu gemüte führen (bzw. dich damit beschäftigen, wie webserver bzw. das http protokoll funktionieren)

3. wenn dir 2. zu kompliziert ist, jemanden fragen, der's kann

[zigan]

bei sowenig erfahrung, würde ich mich nicht trauen einen webserver ins internet zu hängen

ich gebe euch höchstens eine bis zwei wochen, bs die systeme komprmittiert sind, und das schlimmste ist wahrscheinlich, es wird nicht mal bemerkt.

der ratschlag: sucht euch wen, der sich auskennt, ist nicht von der hand zu weisen.
ein bischen in diversen foren herumfragen und auf zielführende antworten warten ist m.E. genau der falsche weg.

ein grundlegender netzwerkkurs wäre auch von vorteil, oder ein paar besuche in rechenzentren.

[strom_alk]

Ja es soll sowas wie Dienstleister geben die sowas machen und dich/euch auf die Gefahren hinweisen.
Wie schon gesagt, gehackt und mistbraucht ist bald ein Server ..
Also mit hinstellen und niemehr ansehen .. Das spielt sich leider nicht.

Wo bist den zuhause ?
Eventuell können dir hier ein paar Leute Tipps geben, wer in deiner Nähe dies machen könnte.
Ansonst Gelbe Seiten / Herold?

Mal eine Frage wer macht den euch die IT ? Der sollte dies können.

ps: nur wird dies sich nicht mit ein paar Euro pro Stunde ausgehn.

[pc_net]

domsi liest das ja eh nicht mehr

[lordpeng]

>domsi liest das ja eh nicht mehr
wir werdens überleben ... wie heisst es so schön, reisende soll man nicht aufhalten ...
jedoch bin ich der meinung, dass er das ganze a bissl zu persönlich genommen hat, aber mir solls wurscht sein ...

[jutta]

> Kann ich das mit meinem "d-link DIR-635" überhaupt machen? Wenn ja was muss ich dazu machen/einstellen?

wenn es geht, dann findest du es hier: anleitung hier ftp://ftp.dlink.de/dir/dir-635/document ... eitung.pdf

zum rest: http://www.tty1.net/smart-questions_de.html

//ps: fast jeder server-admin hat mit learning by doing begonnen. aber es ist *keine* gute idee, ausgerechnet den oeffentlich zugaenglichen webserver eines unternehmens als erstes uebungsobjekt zu nehmen.

//edit pps: nach nochmaligem durchlesen des langen postings bin ich draufgekommen, dass meine vorige aussage "ja geht mit diesem router" etwas voreilig war. nicht alle router koennen mehrere oeffentliche ip adressen weiterleiten. erfahrungsgemaess koennen es cisco (wirkliche!), funkwerk, zyxel, ev. draytek (da bin ich mir nicht sicher) und *manche* modelle von netgear. ob der d-link es kann, sagt dir die anleitung.

alternativ kannst du es auch ohne portforwarding loesen, indem du die server direkt an den ta-router anschliesst.

und ein allgemeiner tipp fuers naechste mal und fuer andere, die fragen stellen wollen: nicht so lang schreiben und auf die konkreten fragen konzentrieren.

[jutta]

Nachdem ich keine Ahnung davon habe, kann ich das nur alles Schrittweise lernen und mich informieren.
Wenn alles fertig ist, alles konfiguriert ist. Datensicherheit, Firewall usw. was alles dazu gehört fertig ist.... DANN wird der Server offiziell in Betrieb genommen.

das portforwarden ist dabei der letzte schritt.

solange der server intern auf einem testgeraet laeuft, brauchst du nichts forwarden. und bis du alle anderen fragen geloest hast, wirst du auch durchschaut haben, wie das mit den ip adressen und ports ist.

btw solltest du dir nicht selbst widersprechen:

Am Webserver ist Softwaremäßig soweit alles fertig. Es geht jetzt um die Verbindung nach außen.

vs.

Nachdem ich keine Ahnung davon habe, kann ich das nur alles Schrittweise lernen und mich informieren.
Wenn alles fertig ist, alles konfiguriert ist. Datensicherheit, Firewall usw. was alles dazu gehört fertig ist.... DANN wird der Server offiziell in Betrieb genommen.

[jutta]

noch einmal, um dir beim lesen zu helfen:
ftp://ftp.dlink.de/dir/dir-635/document ... eitung.pdf

da man beim port-weiterleiten zwar eine ziel-ip aber keine quell-ip angeben kann, wirst du diesen router fuer die von dir gewuenschte loesung nicht verwenden koennen.

komplettes manual unter:
ftp://ftp.d-link.de/dir/dir-635/documen ... Manual.pdf

wenn du jeder webanwendung eine eigene oeffentliche ip geben willst, gibt es 2 moeglichkeiten:
a) den oder die server direkt an den ta-router anschliessen und die passenden ip adressen eintragen.
b) einen router besorgen, der das von dir gewuenschte kann (vorschlaege siehe weiter oben)

wie lordpeng schon geschrieben hat ist es nicht noetig, jeder webanwendung eine eigene ip zu geben. ueberleg dir dein szenario und deine gruende noch einmal.

[Domsi]

Thx jutta

Jetzt habe ich die Info die ich wissen wollte.

[zid]

>"...den oder die server direkt an den ta-router anschliessen und die passenden ip adressen eintragen..."
das wär die einfachste lösung, hätte aber den nachteil, daß man die server, und jetzt red ich wirklich von mehreren hosts und nicht von einem host mit mehreren servern, lokal absichern müßte, was gegen das prinzip der "gewaltentrennung" verstoßen würde...
das weiterleiten mehrerer ips gefällt mir auch nicht ganz so gut, mir gefiele es besser, wenn man gleich das ganze /29er netz nicht an die ethports des zugangsrouters, sondern einen hop weiter ins lan des nachgeschalteten routers routen würde.
das könnte ca. so aussehen:

- das lan des sts/tgs 6xx hat die ip 192.168.0.254/24 und bleibt unverändert.

- der wan-port des nachgeschalteten routers kriegt die ip 192.168.0.253/24.

- die jungs der ta setzen eine route für 80.122.25.96/29 via 192.168.0.253

Code: Alles auswählen

=>ip rtadd dst 80.122.25.96/29 gateway 192.168.0.253 metric 1

- der lan-port des nachgeschalteten routers ist dual homed mit
i.
einer öffentlichen ip z.b. 80.122.25.102/29
ii.
einer privaten ip z.b. 192.168.16.102/24

- die server, die im lan des routers hängen, bekommen eine pub-ip aus .96/29, ihr traffic wird geroutet, zugriffskontrolle erfolgt über die firewall.

- alle anderen rechner im lan des routers bekommen eine private ip aus 192.168.16.0/24, und ihr traffic wird mit 88.122.25.102 maskiert. der nachgeschaltete router muß also in der lage sein, folgendes zu machen- ich formuliers mal in iptables jargon:

Code: Alles auswählen

#iptables -t nat -A POSTROUTING -o ethX -s 192.168.16.0/24 -j SNAT --to-source 88.122.25.102

wobei mit ethX der wan-port gemeint ist.
dazu ist der dir-635 nicht geeignet, viel zu schwach...

welche geräte sind geeignet?

- juttas liste ist eine wahre augenweide für mich, alles da, was ich so liebe und schätze, *sabber* . bei zyxel und draytek muß man etwas aufpassen, geht nicht mit allen geräten.

- jede full-fledged linux oder unix distro, aber auch security appliances wie ipcop, pfsense...

- mikrotik/routeros

- sts/tgs

- ja, und jetzt bitte net lachen- das pire. wenn man dsl auf dieser gurke deaktiviert, dann röchelt sie durchaus zufriedenstellend vor sich hin.

- und, und, und...

lg & prosit neujahr
zid

[jutta]

@zid: deine loesung ist genial. leider hat du ein winziges detail im anforderungsprofil uebersehen:

Leider habe ich mit Serverbetrieb, Router usw. noch nicht sehr viel Ahnung

die lernkurve von d-link bis zu fully fledged routern mit firewall auf *nix-basis und mit mehreren ip-netzen durfte relativ steil sein, wenn die server demnaechst in den testbetrieb gehen sollen