Dois sites em um endereço IP público (atrás de um ASA 5510)

Question

Tenho a necessidade de receber solicitações para intranet.domain.com e webmail.domain.com no mesmo servidor da Web do IIS.

Este servidor da Web tem dois endereços IP internos que hospedam cada um desses dois subdomínios.

Alguém é capaz de sugerir como eu poderia usar o Cisco ASA 5505 que implementei para redirecionar as consultas para cada URL até o IP interno privado correspondente hospedado no servidor web?

Ambos os sites estão hospedados na porta 443 usando o mesmo certificado digital (curinga).

Eu posso fazer isso usando cabeçalhos de host e atualizando o atributo SecureBindings na metabase, mas isso eliminou a capacidade do ActiveSync de enviar e-mails.

    

Answer 1

O ASA não é a resposta certa.

OK, então a resposta é que isso pode ser feito, mas sem cabeçalhos de host no site padrão. Como é o site padrão, o tráfego ainda flui para lá, mas os cabeçalhos nos outros sites permitem hospedá-los no mesmo IP. Cabeçalhos de host no site padrão interrompem o Exchange Active Sync.

    

Answer 2

Você não pode ter dois sites seguros (https) diferentes hospedados no mesmo endereço IP.

Vejo que você abordou isso no servidor da web tendo dois IPs internos. No entanto, o tráfego que passa pelo firewall será criptografado, portanto, o ASA não pode ler o cabeçalho do host, portanto, não pode redirecionar para o IP interno correto.

A solução mais simples é ter dois IPs externos, cada um com NAT para um IP interno no servidor da Web.

    

Answer 3

Primeiro de tudo - isso não é algo que um Cisco ASA ou NAT possa resolver para você.

Eu posso ver três soluções possíveis:

1. Instale um balanceador de carga / frontend / proxy em sua rede interna em um servidor diferente e redirecione as solicitações para o IP interno correto no IIS com base no nome do host solicitado
2. Obtenha outro IP externo e use o encaminhamento de porta ou o NAT um para um para o IP interno secundário
3. Reconfigure seu IIS para usar um único IP (você já está usando o mesmo certificado curinga)

EDIT: Eu não estava ciente das restrições do SNI. Não vejo outra solução além de obter um segundo IP externo