Siti internet su server locale non vengono aperti nella stessa rete locale

[patrik23]

Ciao a tutti,
ho un problema che va avanti da tanto e cerco consigli su come risolvere se si può.
Nella mia rete aziendale abbiamo due siti internet che però se aperti nei pc della stessa rete locale non si aprono mentre su reti esterne invece si aprono.
Ho trovato come escamotage di disattivare il dns sicuro dei browser e allora i siti si aprono anche nella rete locale.
Secondo voi come posso fare per risolvere questo problema?
Grazie

 

[r3dl4nce]

Devi dare qualche indicazione in più.
I siti sono in un server interno alla rete dell'azienda? Esterni? Li aprite con IP o con dns? Hanno certificato SSL valido?

 

[patrik23]

Devi dare qualche indicazione in più.
I siti sono in un server interno alla rete dell'azienda? Esterni? Li aprite con IP o con dns? Hanno certificato SSL valido?

ciao i siti sono in un server interno alla rete dell'azienda
li apriamo semplicemente digitando nel browser il nome del dominio ossia www.miosito.it
il certificato ssl è attivo e valido ossia almeno aprendoli da rete esterna compare che l'ssl è attivo e sicuro

 

[r3dl4nce]

nslookup <dominio-del-sito>

ti risponde l'IP di lan del server interno dove sono hostati questi siti? O l'IP pubblico?

E soprattutto, ma il sistemista che dovrebbe sistemare questo problema (a occhio mi pare un banale problema di DNS) dov'è?

 

[patrik23]

nslookup <dominio-del-sito>

ti risponde l'IP di lan del server interno dove sono hostati questi siti? O l'IP pubblico?

E soprattutto, ma il sistemista che dovrebbe sistemare questo problema (a occhio mi pare un banale problema di DNS) dov'è?

molto probabilmente il sistemista non è in grado di risolvere il problema purtroppo... ma tu sapresti come risolverlo?

 

[r3dl4nce]

Con i dati necessari, se è quello che penso, penso di sì.
Se il sistemista non è in grado di risolvere, qualche dubbio sulla competenza mi viene, ma vabbè.

Hai fatto il test nslookup che ti ho scritto, chiaramente dai pc della rete interna? Che IP ottieni?
C'è una DMZ?

 

[patrik23]

Con i dati necessari, se è quello che penso, penso di sì.
Se il sistemista non è in grado di risolvere, qualche dubbio sulla competenza mi viene, ma vabbè.

Hai fatto il test nslookup che ti ho scritto, chiaramente dai pc della rete interna? Che IP ottieni?
C'è una DMZ?

allora non mi pare ci sia una DMZ

il risultato che compare facendo il test è questo:

Server: UnKnown
Adress: 192.168.1.50 che è l'indirizzo del nostro DNS

Nome: miosito.it
Adress: 192.168.1.210 che è l'indirizzo locale del server nel quale c'è il sito internet

 

[r3dl4nce]

con che browser succede il problema?

 

[patrik23]

con che browser succede il problema?

Chrome e Firefox, su Opera va meglio ma va un po a random, e per ovviare al problema sono costretto come dicevo a disabilitare nelle impostazioni dei browser di tutti i pc l'opzione DNS sicuro

 

[r3dl4nce]

Il problema è che i browser attualmente, soprattutto se basati sul motore di chrome, tendono a non usare i DNS locali se non supportano DoH e quindi usano i propri DNS over HTTPS esterni, in questo modo viene bypassato la tua risoluzione interna del dominio all'IP di rete locale.
Hai due strade:

• il server DNS locale che hai indicato in precedenza, hai scritto 192.168.1.50, deve essere configurato per supportare DoH
  in questo modo i browser usano il DNS locale che viene riconosciuto supportare DoH quindi sicuro
  
  
• devi configurare il router per fare hairpin-nat, in pratica una regola di NAT sulla rete LAN con src la subnet della LAN e dst l'IP pubblico, dst-port 80 e 443, deve rimappare a 192.168.1.210 ovvero l'ip locale del web server locale
  in questo modo anche se il browser non usa il DNS locale e risolve con IP pubblico, viene comunque NATtato all'IP interno

Come fare ciò nei vostri apparati / server, dipende da quello che avete ed è cura del vostro sistemista

 

[patrik23]

ok ti ringrazio davvero molto, ti faccio sapere ciao

 

[patrik23]

ciao alla fine niente di fatto, la seconda soluzione dopo alcuni giri di parole non me l'ha voluta fare dicendo che di fatto è già presente mentre la prima mi dice che abbiamo il server vecchio e quindi non si può fare nemmeno quella...

 

[r3dl4nce]

Scarica pstools e dopo aver sconpattato lo zip fai

Psping  <IP pubblico>:443

Hai risposta?

Se fai
https://IP-pubblico
dal browser che ottieni?

 

[patrik23]

Scarica pstools e dopo aver sconpattato lo zip fai

Psping  <IP pubblico>:443

Hai risposta?

Se fai
https://IP-pubblico
dal browser che ottieni?

ciao grazie della tua risposta, potresti spiegarti meglio che non ho ben chiaro come fare? ti ringrazio

 

[r3dl4nce]

Ero da cellulare, ha formattato un po' a cavolo

scarica pstools

PsTools - Sysinternals

Utilità della riga di comando per elencare i processi in esecuzione in computer locali o remoti, l'esecuzione di processi, il riavvio di computer e altro ancora.

learn.microsoft.com

Lo scompatti e da prompt, nella cartella dove hai scompattato pstools, digiti

PSPING   *IP PUBBLICO*:443

Chiaramente al posto di *IP PUBBLICO* metti il tuo ip pubblico sui cui deve essere raggiungibile il server dall'esterno e su cui dovrebbe essere mappato il dns su cui è registrato il certificato SSL

Se risponde, allora il NAT loopback - hairpin nat è configurato sul router / firewall per cui anche con DNS-over-https dovrebbe risolvere ip pubblico e funzionare
Se non risposnde, chi gestisce il router/firewall deve configurarlo