- PR -

ローカルWebサーバの社内限定公開について

投稿者投稿内容
ミニミニ管理者
常連さん
会議室デビュー日: 2004/11/16
投稿数: 28
投稿日時: 2005-05-23 18:57
首題の件、ご教授ください。

ローカルのセグメントに設置しているW2KサーバをWebサーバとして社内限定で
公開したいのですが、うまく出来ません。
どなたかご存知の方、ご教授お願いします。

◆環境
 ・ファイアウォールを設置
 ・ファイアウォールの下にプロキシーサーバ(セカンダリDNSサーバ兼用)を設置
 ・プロキシーサーバと同一のセグメントにローカルWebサーバを設置
 ・ファイアウォールのDMZには公開Webサーバ(プライマリDNSサーバ兼用)を設置
 ・OSはW2Kサーバ
 ・プロキシーはISA2000を使用(プロキシーのみとして使用)
 ・WebサーバはIIS5.0を使用

◆状況
 ・DMZに設置している公開Webサーバは正しくサイトが開く
 ・ローカルWebサーバのIP、ホストをローカルに設置されているセカンダリDNSサーバ
  に登録(プライマリDNSに登録していない)
 ・nslookupを使用してセカンダリDNSサーバに問い合わせすると正しく応答する。
 ・プロキシーサーバ経由でブラウザからアクセスするとサイトが開かない
 ・プロキシーサーバを経由しないでアクセスするとサイトが開く
 ・ブラウザのアドレスにIPを直打ちするとサイトが開く

申し訳ありませんが宜しくお願いします。
kaz
ぬし
会議室デビュー日: 2003/11/06
投稿数: 5403
投稿日時: 2005-05-23 21:07
こんばんわ.
引用:

ミニミニ管理者さんの書き込み (2005-05-23 18:57) より:

 ・プロキシーはISA2000を使用(プロキシーのみとして使用)



引用:

 ・プロキシーサーバ経由でブラウザからアクセスするとサイトが開かない


なら,その ISA server の proxy が名前解決できていないのでは?
というか,proxy を経由しないといけませんか?
ミニミニ管理者
常連さん
会議室デビュー日: 2004/11/16
投稿数: 28
投稿日時: 2005-05-24 09:34
kaz様、早速のご回答ありがとうございます。

引用:

なら,その ISA server の proxy が名前解決できていないのでは?




すみません。上記の「ISA server のproxyが名前解決できていない」
というのはどのような事を指しているのでしょうか?
私も何となくISA serverが怪しいのかな?と疑っているのですが、
何がおかしいかがわかっていません。
因みにISA serverがインストールされているマシンで稼動している
主なサービスは下記のとおりです。
・セカンダリDNSサーバ(w2k標準)
・ActiveDirectory
・Proxy(ISAserver)
・pop3
・smtp
このマシンに対してnslookupを実行すると正しく名前解決が出来ている
ので何かISAserverでブロックするような事があるのでしょうか?


引用:

というか,proxy を経由しないといけませんか?




proxyの経由が出来ないと困ります。
というのは、社内の拠点間をインターネットVPN接続(ファイアウォール兼用)
しておりVPNのポリシーでProxyを経由することになっています。

今回の私の記載した内容で「プロキシーを経由しないでアクセスするとサイトが開く」
と記載していたので分かりにくかったのかもしれません。

以上、ご教授をお願いします。
kaz
ぬし
会議室デビュー日: 2003/11/06
投稿数: 5403
投稿日時: 2005-05-24 22:52
こんばんわ.
引用:

ミニミニ管理者さんの書き込み (2005-05-24 09:34) より:

・セカンダリDNSサーバ(w2k標準)
・ActiveDirectory


この時点でちょっとまずいのでは?
ActiveDirectory のための DNS が 2ndary である上に
DMZ 上の DNS の 2ndary なんですよね?
さらに,2ndary であるにもかかわらず primary にない entry がある?
DNS の仕組みは理解されていますか?
普通は primary に entry を記述するのであって,
2ndary はその複製を保持します.

で,proxy が動いている Windows Server は,
どこの DNS を参照していますか?
ミニミニ管理者
常連さん
会議室デビュー日: 2004/11/16
投稿数: 28
投稿日時: 2005-05-24 23:39
kaz様、ご回答ありがとうございます。

引用:


この時点でちょっとまずいのでは?
ActiveDirectory のための DNS が 2ndary である上に
DMZ 上の DNS の 2ndary なんですよね?
さらに,2ndary であるにもかかわらず primary にない entry がある?
DNS の仕組みは理解されていますか?
普通は primary に entry を記述するのであって,
2ndary はその複製を保持します.




すみません。
私の記載が間違っていましたので訂正します。(大変失礼しました)
クライアントPCに設定しているDNSは
 プライマリを ローカルに設置しているDNS兼Proxy(ISAserver)を参照
 セカンダリを DMZに設置しているDNS兼公開WWWを参照

ここで今回参照させたいと思っているローカルWebサーバのホスト、IPを登録
したのはプライマリDNSに行なっています。
セカンダリには登録していません。

引用:


で,proxy が動いている Windows Server は,
どこの DNS を参照していますか?




Proxyが動いているWindowsServerが参照しているDNSは
 プライマリが ローカルに設置しているDNS兼Proxy(ISAserver)を参照(自分自身)
 セカンダリが 契約プロバイダのプライマリDNS
です。

私の不注意で記載ミスをしてしまい申し訳ありません。
再度ご教授ください。
kaz
ぬし
会議室デビュー日: 2003/11/06
投稿数: 5403
投稿日時: 2005-05-24 23:49
引用:

ミニミニ管理者さんの書き込み (2005-05-24 23:39) より:

クライアントPCに設定しているDNSは
 プライマリを ローカルに設置しているDNS兼Proxy(ISAserver)を参照
 セカンダリを DMZに設置しているDNS兼公開WWWを参照


WWW proxy を利用する場合,
WWW browser が動いている client 側では DNS をSANそうする必要はないんです.
proxy の指定を hostname しているのでなければ,
とくに DNS の設定は問われないでしょう.
なぜなら,WWW proxy こそが名前解決をして URL を解釈するので.
引用:

ここで今回参照させたいと思っているローカルWebサーバのホスト、IPを登録
したのはプライマリDNSに行なっています。
セカンダリには登録していません。


とすると,2ndary を参照すれば名前解決ができているのは至極正常ということですね.
引用:

引用:

で,proxy が動いている Windows Server は,
どこの DNS を参照していますか?


Proxyが動いているWindowsServerが参照しているDNSは
 プライマリが ローカルに設置しているDNS兼Proxy(ISAserver)を参照(自分自身)
 セカンダリが 契約プロバイダのプライマリDNS
です。


2ndary は参照しないほうが良いように思われます.
むしろ,local(できれば primary 側も)の DNS で
provider の DNS へ forward したほうが smart ではないかと思います.
で,その ISA Server が動く Windows Server では
くだんの WWW Server の名前は引けますか?
ミニミニ管理者
常連さん
会議室デビュー日: 2004/11/16
投稿数: 28
投稿日時: 2005-05-27 12:08
kaz様、返信遅くなりましてすみません。


引用:

WWW proxy を利用する場合,
WWW browser が動いている client 側では DNS をSANそうする必要はないんです.
proxy の指定を hostname しているのでなければ,
とくに DNS の設定は問われないでしょう.
なぜなら,WWW proxy こそが名前解決をして URL を解釈するので.


そうなんですか。勉強不足ですみません。
考えてみれば確かにおっしゃられるとおりですよね。
当社ではWebブラウザが稼動しているクライアントの設定でProxyの
設定はIPアドレスで行なっていますのでDNSの設定は関係ないという
ことですね。

引用:

Proxyが動いているWindowsServerが参照しているDNSは
 プライマリが ローカルに設置しているDNS兼Proxy(ISAserver)を参照(自分自身)
 セカンダリが 契約プロバイダのプライマリDNS
です。
引用:

2ndary は参照しないほうが良いように思われます.
むしろ,local(できれば primary 側も)の DNS で
provider の DNS へ forward したほうが smart ではないかと思います.




これはProxyが稼動しているWindowsServerのプライマリにプロバイダー
のDNSを登録してセカンダリは登録しないということと思うのですが、
勉強不足で申し訳ありません。なぜそうした方が良いのかここの部分
をもう少し解説いただけませんか?

引用:

で,その ISA Server が動く Windows Server では
くだんの WWW Server の名前は引けますか?


nslookupで引けました。

その後、当方で追加テストした結果を記載します。
・Proxyが稼動するWindowsServerのlmhostsにブラウザからHostnameで
 アクセスできないアドレスとIPを登録しました。
その結果、Proxy経由でもクライアントからのアクセスができる様になりました。
しかし、クライアントがアクセスしている状態で「最新の情報に更新」を実行
すると下記のエラーが表示されます。

Webサイトが見つかりません。
  11004 - ホストが見つかりません
  Internet Security and Acceleration Server

これは「lmhostsにIPを記載した為、ProxyはDNSより先にlmhostsを参照して
クライアントでサイトが表示したが、最新の情報に更新ではDNSを参照している」
ということになるのでしょうか?
でも、ProxyのWindowsServerではnslookupで引けていますし。

申し訳ありません、再度ご教授願います。

kaz
ぬし
会議室デビュー日: 2003/11/06
投稿数: 5403
投稿日時: 2005-05-27 21:30
こんばんわ.
引用:

ミニミニ管理者さんの書き込み (2005-05-27 12:08) より:

引用:

引用:

2ndary は参照しないほうが良いように思われます.
むしろ,local(できれば primary 側も)の DNS で
provider の DNS へ forward したほうが smart ではないかと思います.




これはProxyが稼動しているWindowsServerのプライマリにプロバイダー
のDNSを登録してセカンダリは登録しないということと思うのですが、


それぞれの DNS の entry が違う場合,
「優先」のほうで名前解決が出来るものと
「代替」のほうで名前解決が出来るものは違ってくるわけです.
この辺は「DNS の何たるか?」をまず学んでください.
ごく普通のお話ですので.
引用:

その後、当方で追加テストした結果を記載します。
・Proxyが稼動するWindowsServerのlmhostsにブラウザからHostnameで
 アクセスできないアドレスとIPを登録しました。
その結果、Proxy経由でもクライアントからのアクセスができる様になりました。


lmhosts が何を意味しているかご存知ですが?
この場合はむしろ hosts に書くべきかと.
引用:

これは「lmhostsにIPを記載した為、ProxyはDNSより先にlmhostsを参照して
クライアントでサイトが表示したが、最新の情報に更新ではDNSを参照している」
ということになるのでしょうか?
でも、ProxyのWindowsServerではnslookupで引けていますし。


DNS より先に lmhosts を参照するのはそのとおりですが,
「最新の情報だけ DNS」などということはありません.
そのようなことをする意味がありますか?

まず,DNS は local のものだけにしてみましょう.
そして local の DNS service で ISP の DNS に forwarding しましょう.
まずはその辺の正規化から実施することをお奨めします.
その状態で普通に Internet が参照できるようになったら
proxy として正常に動作していることになります.
その後に intranet 側の対応をされたほうがよろしいでしょう.
でないと,どこが間違っていてどこが正常か,逐次進捗が滞ると思います.

以上,ご参考までに.

スキルアップ/キャリアアップ(JOB@IT)