Как настроить сайт интрасети на том же сервере, что и интернет-сайт IIS 8?
Вот что у меня есть:
Mydomain.com запись моего публичного IP.
Org.Mydomain.com CNAME указал на тот же IP-адрес.
DefaultWebSite привязан к * IP-адресам в IIS и имеет страницу iisstart.htm по умолчанию.
Org.mydomain.com (сайт в IIS) привязан к 192.119.1.250 в IIS и имеет привязку хоста с измененной страницей iisstart.htm по умолчанию.
Пока это работает отлично и указывает на iisstart.htm для каждого публичного сайта.
Проблема возникает, когда я добавляю новый сайт с именем интранет и устанавливаю документ по умолчанию для этого сайта в portal.aspx. У меня есть сайт "Интранет", связанный с 192.119.1.250, с именем хоста, связанным с "интрасеть".
После добавления сайта интрасети mydomain.com переводит меня на portal.aspx на сайте "intranet" вместо iisstart.htm на wwwroot "Веб-сайт по умолчанию".
Я попытался установить "интрасеть" для анонимных пользователей DENY, и это так, но проблема с перенаправлением сайта по умолчанию все еще существует.
Есть ли способ настроить это так, чтобы интранет был доступен из моей локальной сети, но не из www? Я знаю, что могу связать сайт с другим IP-адресом, который не сопоставлен извне, и войти с этого IP-адреса вместо IP-адреса, привязанного к моему внешнему статическому IP-адресу, но это выглядит довольно хакерским и хитрым.
Я также не настроил DNS на стороне локальной сети и не настроил AD, как я ожидал, чтобы стереть сервер и выполнить сброс после того, как я наметил, какой будет среда сервера. Мне нужно будет сделать это в какой-то момент, чтобы в DNS была запись хоста для "интернета". На данный момент я делаю это в локальном файле HOSTS.
1 ответ
Я предполагаю, что у вас есть несколько IP-адресов в этом конкретном окне. Единственный способ ограничить внешний трафик от доступа к сайту - это физически направить этот трафик по-другому. Если ваши привязки выглядят так:
- *: 80 -> По умолчанию
- 192.119.1.250:80 -> Интранет
Тогда любой запрос к вашему интранет-сайту все еще технически совпадает с сайтом по умолчанию. Если вы используете один IP-адрес для обработки всего входящего трафика, это должен быть другой IP-адрес, чем любой трафик, к которому вы хотите получить доступ только изнутри, в противном случае невозможно предотвратить доступ пользователей за пределами вашего брандмауэра.
Я бы настроил это так:
- 192.119.1.250:80 -> По умолчанию
- 192.119.1.251:80 -> Интранет
И затем на вашем маршрутизаторе разрешается только трафик порта 80 для маршрутизации на первый IP-адрес, что исключает любое потенциальное перекрестное загрязнение. Это гораздо чище и не взламывать, так настроено большинство сайтов.