Capítulo 04 Rede, DNS & criptografia Admin: #pNetwork

Operação atrás de pfSense, OPNsense, HAProxy & gateways SSL

Muitas implantações corporativas executam o servidor web e o nextxch em VLANs internas atrás de um firewall de perímetro compartilhado (pfSense, OPNsense, Sophos) ou de um gateway SSL/HAProxy. Sem Hairpin NAT (NAT Reflection), pacotes enviados de dentro da rede para o seu próprio IP WAN público expiram no gateway.

Dica operacional & nota de arquitetura

Por que as verificações de portas informavam 'Timeout' atrás de gateways compartilhados? Quando o teste partia de trás do mesmo firewall pfSense sem NAT reflection, os pacotes de loopback da WAN eram descartados, embora clientes externos da internet se conectassem normalmente. O nextxch v1.2.4 detecta e compensa essa topologia automaticamente.

pfSense / OPNsense: configurações recomendadas de Split-DNS & proxy

O Split-DNS elimina os saltos de hairpin na WAN para usuários internos e preserva os IPs de origem reais da LAN.

Referência / configuração

# 1. pfSense -> Services -> DNS Resolver -> Host Overrides:
Host: mail    Domain: firma.de    IP: 172.16.0.55 (Interne LAN/DMZ-IP)

# 2. Reverse-Proxy (Nginx / HAProxy) Timeout für ActiveSync Ping (TCP 443):
proxy_read_timeout 960s;
proxy_send_timeout 960s;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;

Configurações, valores padrão e boas práticas

Configuração / local	Descrição	Valor padrão	Boa prática para produção
`pfSense / OPNsense: Split-DNS (DNS Resolver)`	Resolve mail.company.com diretamente para o IP interno da LAN/DMZ (por exemplo, 172.16.0.55) para clientes internos e servidores vizinhos, em vez de fazer hairpinning via WAN.	`Im Gateway konfigurieren`	Boa prática nº 1 recomendada! Adicione um Host Override no Unbound/DNS Resolver mapeando mail.company.com para o IP interno da LAN, para velocidade sem saltos extras e IPs reais dos clientes.
`pfSense: NAT Reflection (Pure NAT)`	Permite que hosts internos alcancem serviços WAN com redirecionamento de portas pelo IP WAN público quando o Split-DNS não é usado.	`Deaktiviert in pfSense`	Se hosts internos precisarem acessar o IP WAN público, ative Pure NAT + Automatic Outbound NAT for Reflection em System -> Advanced -> Firewall & NAT.
`SSL-Gateway / Reverse-Proxy für Port 443`	Termina o HTTPS em um gateway de borda (HAProxy / Nginx) e encaminha Webmail, Admin, CalDAV/CardDAV e ActiveSync para o nextxch.	`Direkt oder Reverse-Proxy`	Aumente os timeouts de leitura/inatividade do gateway para >= 900s para o long polling do ActiveSync Ping e encaminhe os cabeçalhos X-Forwarded-For + X-Forwarded-Proto.
`Smtp/Imap:EnableProxyProtocol (HAProxy v2)`	Extrai o verdadeiro IP do cliente remoto dos cabeçalhos HAProxy PROXY Protocol v1/v2 nas portas TCP 25, 465, 587 e 993.	`false (Direktes NAT)`	Mantenha FALSE para redirecionamentos de porta DNAT padrão do pfSense/iptables (que já preservam os IPs de origem)! Ative SOMENTE quando o HAProxy enviar explicitamente send-proxy-v2.