Capitolo 04 Rete, DNS & crittografia Admin: #pNetwork

Funzionamento dietro pfSense, OPNsense, HAProxy & gateway SSL

Molti deployment aziendali eseguono il web server e nextxch in VLAN interne dietro un firewall perimetrale condiviso (pfSense, OPNsense, Sophos) o un gateway SSL/HAProxy. Senza Hairpin NAT (NAT Reflection), i pacchetti inviati dall'interno della rete al proprio IP WAN pubblico vanno in timeout sul gateway.

Suggerimento operativo & nota sull'architettura

Perché i controlli delle porte in precedenza riportavano 'Timeout' dietro gateway condivisi? Quando la sonda partiva da dietro lo stesso firewall pfSense senza NAT reflection, i pacchetti di loopback WAN venivano scartati, anche se i client esterni su Internet si connettevano senza problemi. nextxch v1.2.4 rileva e compensa automaticamente questa topologia.

pfSense / OPNsense: impostazioni Split-DNS & proxy consigliate

Lo split DNS elimina i passaggi hairpin sulla WAN per gli utenti interni e preserva i veri IP sorgente della LAN.

Riferimento / configurazione

# 1. pfSense -> Services -> DNS Resolver -> Host Overrides:
Host: mail    Domain: firma.de    IP: 172.16.0.55 (Interne LAN/DMZ-IP)

# 2. Reverse-Proxy (Nginx / HAProxy) Timeout für ActiveSync Ping (TCP 443):
proxy_read_timeout 960s;
proxy_send_timeout 960s;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;

Impostazioni, valori predefiniti e best practice

Impostazione / posizione	Descrizione	Valore predefinito	Best practice per la produzione
`pfSense / OPNsense: Split-DNS (DNS Resolver)`	Risolve mail.company.com direttamente nell'IP interno LAN/DMZ (ad es. 172.16.0.55) per i client interni e i server affiancati, invece di passare in hairpin tramite la WAN.	`Im Gateway konfigurieren`	Best practice consigliata n. 1! Aggiungere in Unbound/DNS Resolver un host override che associ mail.company.com all'IP LAN interno, per la massima velocità senza hop e per vedere gli IP reali dei client.
`pfSense: NAT Reflection (Pure NAT)`	Consente agli host interni di raggiungere i servizi WAN con port forwarding tramite l'IP WAN pubblico quando non si usa lo split DNS.	`Deaktiviert in pfSense`	Se gli host interni devono raggiungere l'IP WAN pubblico, attivare Pure NAT + Automatic Outbound NAT for Reflection in System -> Advanced -> Firewall & NAT.
`SSL-Gateway / Reverse-Proxy für Port 443`	Termina HTTPS su un gateway edge (HAProxy / Nginx) e inoltra Webmail, Admin, CalDAV/CardDAV e ActiveSync a nextxch.	`Direkt oder Reverse-Proxy`	Aumentare i timeout di lettura/inattività del gateway a >= 900 s per il long polling Ping di ActiveSync e inoltrare le intestazioni X-Forwarded-For + X-Forwarded-Proto.
`Smtp/Imap:EnableProxyProtocol (HAProxy v2)`	Estrae il vero IP del client remoto dagli header HAProxy PROXY Protocol v1/v2 sulle porte TCP 25, 465, 587 e 993.	`false (Direktes NAT)`	Mantenere FALSE per i normali port forward DNAT di pfSense/iptables (che preservano già gli IP di origine)! Attivare SOLO quando HAProxy invia esplicitamente send-proxy-v2.