IIS 7 auf Server 2008 (ohne R2)

[dataKEKS 11]

Hallo Kollegen!

 

Ich suche jetzt schon seit Stunden im IIS Manager vom Server 2008, nur leider habe ich bislang nicht alle Sicherheitsbedenken aus der Welt schaffen können.

 

Problemstellung ist eigentlich einfach: Wir haben auf dem Server die normale Default Webseite, die WSUS Seite auf Port 8530 und dann noch eine weitere, die von extern erreichbar sein soll. Ist ja durch die Sitebindung mit Hostnamenauswertung auch einfach abzubilden. Damit habe ich technisch genau das was wir wollen: Von außen reagiert die Webseite ich haben will.

 

Nur wäre es mir lieb wenn beim Aufruf über die IP Adresse auch diese eine Site angesprochen wird und nicht die Default Web Site. Nur leider habe ich keine Idee wie ich das dem IIS beibringen könnte, denn als Name die IP zu verwenden funktioniert nicht.

 

Muss ich jetzt für den Zugriff von außen einen anderen Port als die 80 auf der internen Bindung verwenden damit ich intern die 80 nehmen kann mit Namensauswertung und extern einfach über z.B. Port 81 oder wie kann man das realisieren?

 

Gruß aus dem sonnigen Süden der Republik

dataKEKS

[Dukel 451]

Braucht ihr die Default website?

[zahni 550]

Eine Variante auf die Schnelle wäre, die IP-Adresse des Routers ("extern") auf der Default-Website zu verbieten. Oder man registriert für die Default-Website auch intern einen Host-Header.

[dataKEKS 11]

Hey Zahni!

 

Ich habe mir das mit dem Hostheader auf der Standardwebseite auch schon überlegt, aber so richtig happy bin ich damit nicht. Was ich auch schon gemacht habe (nur hier nicht erwähnt, Asche auf mein Haupt!) ist die Option mit den Einschränkungen der erlaubten IP Adressen. Wenn ich nur die internen Netze als zugelassen definiere funktioniert intern weiterhin alles, nur bei Zugriffen von außen kommt die Fehlermeldung http 403 - Verboten :-(

[Dukel 451]

Was hast du denn vor?

Soll die Default Website nur von intern und die weitere nur von extern erreichbar sein? Oder beide von intern und nur die Default von extern?

[dataKEKS 11]

Hey Dukel!

 

Die default nur intern, die andere intern (nur namentlich) und extern (hier namentlich und IP). Die zweite Site sollte deswegen von intern und extern erreichbar sein, damit Änderungen auch vom internen Netz kontrolliert werden können (ist ja mit DNS Zonen einfach abzubilden). Wäre halt einfach schön wenn bei Aufruf über die externe IP sich nicht die Default Web Site angesprochen fühlen würde sondern die zweite....

[Dunkelmann 96]

Wenn unbedingt interne und externe Ressourcen auf einem Server liegen müssen, würde ich die Default Web Site mit einer Umleitung auf die extern zugänglichen Ressourcen versehen und die jetzt dort gehosteten internen Inhalte unter einem neuen Hostheader als neue Site auf dem Server ablegen.

 

Sicherer währe es natürlich die extern zugänglichen Ressourcen auf einem separaten Server in einer DMZ abzulegen und diese dann über einen Reverseproxy zu veröffentlichen.