الفصل 04
الشبكات وDNS والتشفير
الإدارة:
#pNetwork
التشغيل خلف pfSense وOPNsense وHAProxy وبوابات SSL
تشغّل كثير من عمليات النشر في المؤسسات خادم الويب وnextxch في شبكات VLAN داخلية خلف جدار حماية محيطي مشترك (pfSense أو OPNsense أو Sophos) أو بوابة SSL/HAProxy. ودون Hairpin NAT (NAT Reflection)، تنتهي مهلة الحزم المرسلة من داخل الشبكة إلى عنوان WAN IP العام الخاص بكم عند البوابة.
نصيحة تشغيلية وملاحظة حول البنية
لماذا كانت فحوصات المنافذ تُبلغ سابقًا عن 'Timeout' خلف البوابات المشتركة؟ عندما كان الفحص ينطلق من خلف جدار الحماية pfSense نفسه دون NAT Reflection، كانت حزم الحلقة العكسية عبر WAN تُسقط، رغم أن عملاء الإنترنت الخارجيين كانوا يتصلون دون مشكلات. ويكتشف nextxch v1.2.4 هذا المخطط الشبكي ويعوّضه تلقائيًا.
إعدادات Split-DNS والوكيل الموصى بها لـ pfSense / OPNsense
يُلغي Split-DNS قفزات WAN الدائرية (Hairpin) للمستخدمين الداخليين ويحافظ على عناوين IP المصدر الحقيقية على الشبكة المحلية.
# 1. pfSense -> Services -> DNS Resolver -> Host Overrides:
Host: mail Domain: firma.de IP: 172.16.0.55 (Interne LAN/DMZ-IP)
# 2. Reverse-Proxy (Nginx / HAProxy) Timeout für ActiveSync Ping (TCP 443):
proxy_read_timeout 960s;
proxy_send_timeout 960s;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;الإعدادات والقيم الافتراضية وأفضل الممارسات
| الإعداد / الموقع | الوصف | القيمة الافتراضية | أفضل ممارسة للإنتاج |
|---|---|---|---|
pfSense / OPNsense: Split-DNS (DNS Resolver) |
يحل mail.company.com مباشرة إلى عنوان IP الداخلي في LAN/DMZ (مثل 172.16.0.55) للعملاء الداخليين والخوادم المجاورة بدلًا من الالتفاف (Hairpinning) عبر WAN. | Im Gateway konfigurieren |
أفضل ممارسة موصى بها رقم 1! أضيفوا Host Override في Unbound/DNS Resolver يربط mail.company.com بعنوان IP الداخلي في الشبكة المحلية، للحصول على سرعة دون قفزات وعناوين IP الحقيقية للعملاء. |
pfSense: NAT Reflection (Pure NAT) |
يتيح للمضيفات الداخلية الوصول إلى خدمات WAN المعاد توجيه منافذها عبر عنوان IP العام لشبكة WAN عند عدم استخدام Split-DNS. | Deaktiviert in pfSense |
إذا كان على المضيفين الداخليين الوصول إلى عنوان WAN IP العام، ففعّلوا Pure NAT + Automatic Outbound NAT for Reflection ضمن System -> Advanced -> Firewall & NAT. |
SSL-Gateway / Reverse-Proxy für Port 443 |
ينهي HTTPS على بوابة طرفية (HAProxy / Nginx) ويعيد توجيه Webmail والإدارة وCalDAV/CardDAV وActiveSync إلى nextxch. | Direkt oder Reverse-Proxy |
زيدوا مهلات القراءة/الخمول في البوابة إلى >= 900s للاستطلاع الطويل عبر ActiveSync Ping، وأعيدوا توجيه ترويسات X-Forwarded-For + X-Forwarded-Proto. |
Smtp/Imap:EnableProxyProtocol (HAProxy v2) |
يستخرج عنوان IP الحقيقي للعميل البعيد من ترويسات HAProxy PROXY Protocol v1/v2 على منافذ TCP 25 و465 و587 و993. | false (Direktes NAT) |
أبقوه FALSE لعمليات إعادة توجيه المنافذ DNAT القياسية في pfSense/iptables (التي تحافظ بالفعل على عناوين IP المصدر)! وفعّلوه فقط عندما يرسل HAProxy صراحةً send-proxy-v2. |