forum.lissyara.su

Всем добрый день.
С Unix системами работаю совсем недавно.

Установлена ОС Freebsd9
Подняты службы ipfw+nat. (Для раздачи людям инета)

На этом же сервере установлен веб-сервер (не мной) на nginx+apache

Проблема следующая:

В локальной сети не хочет полностью открываться свой сайт (любые другие сайты открываются без проблем ).
Из глобальной сети свой сайт также открывается без каких либо проблем.

Тоже самое происходит с при открытии консоли webmin (из глобальной сети без проблем, а из локальной не открывается не полностью, крутиться индикатор загрузки браузера и открывается только кусочек консоли )

Может кто то сталкивался с проблемой?

Открывайте внешний адрес, а не внутренний.

Bayerische писал(а):Открывайте внешний адрес, а не внутренний.

в смысле?

я набираю внешний адрес!

alek2012 писал(а):я набираю внешний адрес!

Заходите по доменному имени или по IP сервера ?
Рискну предположить что проблемма в nginx.
можно посмотреть конфиг ?

Dark_fisher писал(а):

alek2012 писал(а):я набираю внешний адрес!

Заходите по доменному имени или по IP сервера ?
Рискну предположить что проблемма в nginx.
можно посмотреть конфиг ?

Открываю и по доменному имени и по ip (результат тот же)

Конфиг ниже:

user www www;

worker_processes 3;

error_log /var/log/nginx/nginx-error.log;

events {
worker_connections 1024;
use kqueue;
}


http {
include mime.types;
default_type application/octet-stream;

log_format main '"$host":$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"/n';

access_log /var/log/nginx/access.log main;

sendfile on;
tcp_nopush on;
tcp_nodelay on;

#client_header_timeout 3m;
#client_body_timeout 3m;
#send_timeout 3m;

#keepalive_timeout 0;
#keepalive_timeout 2m;

gzip on;

upstream apache {
server 127.0.0.1:8080;
}

server {
listen 80;
server_name www.site1.net site1.net www.site2.com site2.com;

location / {
proxy_pass http://apache/;

proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

proxy_connect_timeout 120;
proxy_send_timeout 120;
proxy_read_timeout 180;
}

#error_page 404 /404.html;

# redirect server error pages to the static page /50x.html
#
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root /usr/local/www/nginx-dist;
}

# proxy the PHP scripts to Apache listening on 127.0.0.1:80
#
#location ~ \.php$ {
# proxy_pass http://127.0.0.1;
#}

# pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
#
#location ~ \.php$ {
# root html;
# fastcgi_pass 127.0.0.1:9000;
# fastcgi_index index.php;
# fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name;
# include fastcgi_params;
#}

# deny access to .htaccess files, if Apache's document root
# concurs with nginx's one
#
#location ~ /\.ht {
# deny all;
#}
}


# HTTPS server
#
#server {
# listen 443;
# server_name localhost;

# ssl on;
# ssl_certificate cert.pem;
# ssl_certificate_key cert.key;

# ssl_session_timeout 5m;

# ssl_protocols SSLv2 SSLv3 TLSv1;
# ssl_ciphers HIGH:!aNULL:!MD5;
# ssl_prefer_server_ciphers on;

# location / {
# root html;
# index index.html index.htm;
# }
#}

}

alek2012 писал(а):
Открываю и по доменному имени и по ip (результат тот же)

Конфиг ниже:

error_log /var/log/nginx/nginx-error.log;
access_log /var/log/nginx/access.log main;

можно содержимое этих логов ?
желательно в сжатом виде...
то есть последние 10-20 ошибок.

Dark_fisher писал(а):

alek2012 писал(а):
Открываю и по доменному имени и по ip (результат тот же)

Конфиг ниже:

error_log /var/log/nginx/nginx-error.log;
access_log /var/log/nginx/access.log main;

можно содержимое этих логов ?
желательно в сжатом виде...
то есть последние 10-20 ошибок.

error_log :
2012/05/26 11:47:22 [error] 987#0: *1 kevent() reported that connect() failed (61: Connection refused) while connecting to upstream, client: 178.77.120.8, server: http://www.site1.net, request: "GET /din.aspx?s=00000000&id=0&client=DynGate&p=10000001 HTTP/1.1", upstream: "http://127.0.0.1:8080/din.aspx?s=000000 ... p=10000001", host: "91.225.123.172"
2012/06/12 17:28:16 [error] 5838#0: *248 kevent() reported that connect() failed (61: Connection refused) while connecting to upstream, client: 192.168.1.10, server: http://www.site1.net, request: "GET / HTTP/1.1", upstream: "http://127.0.0.1:8080/", host: "site1.net"
2012/06/12 17:28:39 [error] 5838#0: *250 kevent() reported that connect() failed (61: Connection refused) while connecting to upstream, client: 192.168.1.10, server: http://www.site1.net, request: "GET / HTTP/1.1", upstream: "http://127.0.0.1:8080/", host: "site1.net"
2012/06/12 17:32:11 [error] 5838#0: *252 kevent() reported that connect() failed (61: Connection refused) while connecting to upstream, client: 192.168.1.10, server: http://www.site1.net, request: "GET / HTTP/1.1", upstream: "http://127.0.0.1:8080/", host: "site2.com"
2012/06/12 17:33:06 [error] 5838#0: *254 kevent() reported that connect() failed (61: Connection refused) while connecting to upstream, client: 192.168.1.10, server: http://www.site1.net, request: "GET / HTTP/1.1", upstream: "http://127.0.0.1:8080/", host: "site2.com"
2012/06/12 17:43:26 [error] 5838#0: *281 kevent() reported that connect() failed (61: Connection refused) while connecting to upstream, client: 192.168.1.10, server: http://www.site1.net, request: "GET / HTTP/1.1", upstream: "http://127.0.0.1:8080/", host: "site1.net"
2012/06/12 17:43:26 [error] 5838#0: *280 kevent() reported that connect() failed (61: Connection refused) while connecting to upstream, client: 192.168.1.10, server:

access_log

"www.site1.net":внешний ip - - [25/Jun/2012:16:36:02 +0300] "\xE0\xB2g\x80/\x05\x8C\xD6\xC8\xB9\x7F\xDF\xDE\xCF\xB3\xF7\x0BZE\xE2\xFC\x877\xC6+Z\x88" 400 173 "-" "-" "-"/n
"www.site1.net":внешний ip - - [25/Jun/2012:17:21:51 +0300] "\x1B4\xDFI\xD6S\xAB\x99\x22\xDCz\xD2\x0E~\x0F\xB6o\xFCp\xC6j\x93p&\xE9\xBF*o\xA5\xA95,\xE9Ae\xB1)\xE2\xC7\xAA\x89\xAD\xC3~z\xF8\xDB\x85\xA6\x97\x16\xE9\x07\x9A;\xED\x92%\x10\xF8\xB1" 400 173 "-" "-" "-"/n
"www.site1.net":внешний ip - - [25/Jun/2012:17:23:45 +0300] "\x7F\xB7\xE1\x22\xF3\x17\xA5e\xA1{4\xD1\x92\x88\xBA\xBF\xF4+F\x16\xD9\xEBq\xBFd" 400 173 "-" "-" "-"/n
"site2.com":внешний ip - - [25/Jun/2012:17:56:18 +0300] "GET / HTTP/1.1" 304 0 "-" "Mozilla/5.0 (Windows NT 6.1; rv:13.0) Gecko/20100101 Firefox/13.0.1" "-"/n
"site2.com":внешний ip - - [25/Jun/2012:17:56:18 +0300] "GET /style.css HTTP/1.1" 304 0 "http://site2.com/" "Mozilla/5.0 (Windows NT 6.1; rv:13.0) Gecko/20100101 Firefox/13.0.1" "-"/n
"site2.com":внешний ip - - [25/Jun/2012:17:56:18 +0300] "GET /guitar.jpg HTTP/1.1" 304 0 "http://site2.com/" "Mozilla/5.0 (Windows NT 6.1; rv:13.0) Gecko/20100101 Firefox/13.0.1" "-"/n
"www.site2.com":внешний ip - - [25/Jun/2012:18:00:10 +0300] "1\xB7\x17\xE0\xD8~)\xE4\xEB\x8BR\xF0\xF8\xB9i\xACN\x08\x8601H1\xDC\xFBx0\xE9\x1F\xB3\x04,\x22\xC5\x9Cl\xA8\x1C\xF9t" 400 173 "-" "-" "-"/n

Вот и первая ошибка.
Сервер отвергает соединение с сервером.
Фаервол ?
Коннект по ссл на аппач ?

Dark_fisher писал(а):

Код: Выделить всё

2012/05/26 11:47:22 [error] 987#0: *1 kevent() reported that connect() failed (61: Connection refused) while connecting to upstream, client: 178.77.120.8, server: http://www.site1.net, request: "GET /din.aspx?s=00000000&id=0&client=DynGate&p=10000001 HTTP/1.1", upstream: "http://127.0.0.1:8080/din.aspx?s=00000000&id=0&client=DynGate&p=10000001", host: "91.225.123.172"

Вот и первая ошибка.
Сервер отвергает соединение с сервером.
Фаервол ?
Коннект по ссл на аппач ?

Коннект на аппач по 8080 порту

Конфиг фаервола:
#de2 #внешний ip #osnovnoy ip ISP
#de1 #внешний Ip2 #reserve ip ISP
#de0 #внутренний ip 192.168.1.12 #local ip
nat="/sbin/natd"
$nat -p 8668 -s -m -u -n de2
$nat -p 8669 -s -m -u -n de1

ipfw -q flush

ipfw add allow all from any to any via lo0
ipfw add deny all from any to 127.0.0.0/8
ipfw add deny all from 127.0.0.0/8 to any

ipfw add allow ip from any to me dst-port 22,65022 in via de2
ipfw add allow ip from any to me dst-port 22,65022 in via de1
ipfw add allow ip from any to me dst-port 80,8080 in via de2
ipfw add allow ip from any to me dst-port 80,8080 in via de1
ipfw add allow ip from any to me dst-port 3306 in via de2
ipfw add allow ip from any to me dst-port 3306 in via de1
ipfw add allow ip from any to me dst-port 3389,33892 in via de2
ipfw add allow ip from any to me dst-port 3389,33892 in via de1
ipfw add allow ip from any to me dst-port 20,21 in via de2
ipfw add allow ip from any to me dst-port 20,21 in via de1
ipfw add allow ip from any to me dst-port 1701,1723 in via de2
ipfw add allow ip from any to me dst-port 1701,1723 in via de1

ipfw add allow icmp from any to me icmptypes 8 in via de2
ipfw add allow icmp from any to me icmptypes 8 in via de1

ipfw add divert 8668 all from any to any via de2
ipfw add divert 8669 all from any to any via de1

ipfw add check-state
ipfw add allow all from me to any keep-state

ipfw add allow all from 192.168.1.0/24 to any
ipfw add allow all from any to 192.168.1.0/24
ipfw add allow all from any to any

alek2012 писал(а):

Dark_fisher писал(а):

Код: Выделить всё

2012/05/26 11:47:22 [error] 987#0: *1 kevent() reported that connect() failed (61: Connection refused) while connecting to upstream, client: 178.77.120.8, server: http://www.site1.net, request: "GET /din.aspx?s=00000000&id=0&client=DynGate&p=10000001 HTTP/1.1", upstream: "http://127.0.0.1:8080/din.aspx?s=00000000&id=0&client=DynGate&p=10000001", host: "91.225.123.172"

Вот и первая ошибка.
Сервер отвергает соединение с сервером.
Фаервол ?
Коннект по ссл на аппач ?

Коннект на аппач по 8080 порту

Конфиг фаервола:
#de2 #внешний ip #osnovnoy ip ISP
#de1 #внешний Ip2 #reserve ip ISP
#de0 #внутренний ip 192.168.1.12 #local ip
nat="/sbin/natd"
$nat -p 8668 -s -m -u -n de2
$nat -p 8669 -s -m -u -n de1

ipfw -q flush

ipfw add allow all from any to any via lo0
ipfw add deny all from any to 127.0.0.0/8
ipfw add deny all from 127.0.0.0/8 to any

ipfw add allow ip from any to me dst-port 22,65022 in via de2
ipfw add allow ip from any to me dst-port 22,65022 in via de1
ipfw add allow ip from any to me dst-port 80,8080 in via de2
ipfw add allow ip from any to me dst-port 80,8080 in via de1
ipfw add allow ip from any to me dst-port 3306 in via de2
ipfw add allow ip from any to me dst-port 3306 in via de1
ipfw add allow ip from any to me dst-port 3389,33892 in via de2
ipfw add allow ip from any to me dst-port 3389,33892 in via de1
ipfw add allow ip from any to me dst-port 20,21 in via de2
ipfw add allow ip from any to me dst-port 20,21 in via de1
ipfw add allow ip from any to me dst-port 1701,1723 in via de2
ipfw add allow ip from any to me dst-port 1701,1723 in via de1

ipfw add allow icmp from any to me icmptypes 8 in via de2
ipfw add allow icmp from any to me icmptypes 8 in via de1

ipfw add divert 8668 all from any to any via de2
ipfw add divert 8669 all from any to any via de1

ipfw add check-state
ipfw add allow all from me to any keep-state

ipfw add allow all from 192.168.1.0/24 to any
ipfw add allow all from any to 192.168.1.0/24
ipfw add allow all from any to any

первое, перестаньте юзать обращение me, просто пропишите ИП серва.
второе - в конце у вас идет ipfw add allow all from any to any - не вижу смысла в предыдущих add allow ip - если вы и так разрешаете всем все.
Аппач у вас фронтенд, или перед ним еще что то есть, типо nginx?

Dark_fisher писал(а):

alek2012 писал(а):

Dark_fisher писал(а):

Код: Выделить всё

2012/05/26 11:47:22 [error] 987#0: *1 kevent() reported that connect() failed (61: Connection refused) while connecting to upstream, client: 178.77.120.8, server: http://www.site1.net, request: "GET /din.aspx?s=00000000&id=0&client=DynGate&p=10000001 HTTP/1.1", upstream: "http://127.0.0.1:8080/din.aspx?s=00000000&id=0&client=DynGate&p=10000001", host: "91.225.123.172"

Вот и первая ошибка.
Сервер отвергает соединение с сервером.
Фаервол ?
Коннект по ссл на аппач ?

Коннект на аппач по 8080 порту

Конфиг фаервола:
#de2 #внешний ip #osnovnoy ip ISP
#de1 #внешний Ip2 #reserve ip ISP
#de0 #внутренний ip 192.168.1.12 #local ip
nat="/sbin/natd"
$nat -p 8668 -s -m -u -n de2
$nat -p 8669 -s -m -u -n de1

ipfw -q flush

ipfw add allow all from any to any via lo0
ipfw add deny all from any to 127.0.0.0/8
ipfw add deny all from 127.0.0.0/8 to any

ipfw add allow ip from any to me dst-port 22,65022 in via de2
ipfw add allow ip from any to me dst-port 22,65022 in via de1
ipfw add allow ip from any to me dst-port 80,8080 in via de2
ipfw add allow ip from any to me dst-port 80,8080 in via de1
ipfw add allow ip from any to me dst-port 3306 in via de2
ipfw add allow ip from any to me dst-port 3306 in via de1
ipfw add allow ip from any to me dst-port 3389,33892 in via de2
ipfw add allow ip from any to me dst-port 3389,33892 in via de1
ipfw add allow ip from any to me dst-port 20,21 in via de2
ipfw add allow ip from any to me dst-port 20,21 in via de1
ipfw add allow ip from any to me dst-port 1701,1723 in via de2
ipfw add allow ip from any to me dst-port 1701,1723 in via de1

ipfw add allow icmp from any to me icmptypes 8 in via de2
ipfw add allow icmp from any to me icmptypes 8 in via de1

ipfw add divert 8668 all from any to any via de2
ipfw add divert 8669 all from any to any via de1

ipfw add check-state
ipfw add allow all from me to any keep-state

ipfw add allow all from 192.168.1.0/24 to any
ipfw add allow all from any to 192.168.1.0/24
ipfw add allow all from any to any

первое, перестаньте юзать обращение me, просто пропишите ИП серва.
второе - в конце у вас идет ipfw add allow all from any to any - не вижу смысла в предыдущих add allow ip - если вы и так разрешаете всем все.
Аппач у вас фронтенд, или перед ним еще что то есть, типо nginx?

стоит nginx перед ним

Конфиг nginx в студию.
Есть у меня подозрения что проблема с ним

Dark_fisher писал(а):Конфиг nginx в студию.
Есть у меня подозрения что проблема с ним

вот:

user www www;

worker_processes 3;

error_log /var/log/nginx/nginx-error.log;

events {
worker_connections 1024;
use kqueue;
}


http {
include mime.types;
default_type application/octet-stream;

log_format main '"$host":$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"/n';

access_log /var/log/nginx/access.log main;

sendfile on;
tcp_nopush on;
tcp_nodelay on;

#client_header_timeout 3m;
#client_body_timeout 3m;
#send_timeout 3m;

#keepalive_timeout 0;
#keepalive_timeout 2m;

gzip on;

upstream apache {
server 127.0.0.1:8080;
}

server {
listen 80;
server_name www.site1.net site1.net www.site2.com site2.com;

location / {
proxy_pass http://apache/;

proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

proxy_connect_timeout 120;
proxy_send_timeout 120;
proxy_read_timeout 180;
}

#error_page 404 /404.html;

# redirect server error pages to the static page /50x.html
#
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root /usr/local/www/nginx-dist;
}

# proxy the PHP scripts to Apache listening on 127.0.0.1:80
#
#location ~ \.php$ {
# proxy_pass http://127.0.0.1;
#}

# pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
#
#location ~ \.php$ {
# root html;
# fastcgi_pass 127.0.0.1:9000;
# fastcgi_index index.php;
# fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name;
# include fastcgi_params;
#}

# deny access to .htaccess files, if Apache's document root
# concurs with nginx's one
#
#location ~ /\.ht {
# deny all;
#}
}


# HTTPS server
#
#server {
# listen 443;
# server_name localhost;

# ssl on;
# ssl_certificate cert.pem;
# ssl_certificate_key cert.key;

# ssl_session_timeout 5m;

# ssl_protocols SSLv2 SSLv3 TLSv1;
# ssl_ciphers HIGH:!aNULL:!MD5;
# ssl_prefer_server_ciphers on;

# location / {
# root html;
# index index.html index.htm;
# }
#}

}

ну что никаких предположений больше нет?

еще кстати один нюанс, когда свои сайты запрашиваю через поисковики, с них открываются нормально.
А с адресной строки браузера висят.

alek2012 писал(а):еще кстати один нюанс, когда свои сайты запрашиваю через поисковики, с них открываются нормально.
А с адресной строки браузера висят.

через поисковик ты делаеш крюк через пол инета, а с локали, ты напрямую ресолвиш 127.0.0.1
ХМ....
Чесно что то крутится в голове но никак не могу зацепится.
Ты когда ломишся извне через адресную строку то заходит нормально ?

попробуй где нибудь в начале правил добавить: Если не поможет, то выдай куски лога nginx'a в момент когда из локалки к нему пытаешься подцепиться.
Также ресолвит изнутри сети доменное имя твоего сайта во внешний ip?

Dark_fisher писал(а):

alek2012 писал(а):еще кстати один нюанс, когда свои сайты запрашиваю через поисковики, с них открываются нормально.
А с адресной строки браузера висят.

через поисковик ты делаеш крюк через пол инета, а с локали, ты напрямую ресолвиш 127.0.0.1
ХМ....
Чесно что то крутится в голове но никак не могу зацепится.
Ты когда ломишся извне через адресную строку то заходит нормально ?

извне заходит без проблем с моментальной отдачей!!!

goshanecr писал(а): Также ресолвит изнутри сети доменное имя твоего сайта во внешний ip?

да! резолвит изнутри доменное имя обоих сайтов именно во внешний ip

goshanecr писал(а):попробуй где нибудь в начале правил добавить:

Код: Выделить всё

${FwCmd} add fwd 127.0.0.1,80 all from ${LAN} to ${WAN1_IP} 80
${FwCmd} add fwd 127.0.0.1,80 all from ${LAN} to ${WAN2_IP} 80

Помогло вот так fwd 127.0.0.1,8080 ip from 192.168.1.0/24 to WAN_IP
И сайты заработали.

Только после добавления правила не работает теперь консоль вебмина в локальной сети (извне работает)

в браузере пишет - При соеденениис site.net:10100 произошла ошибка.
ssl получило запись, длина которой превышает максимально допустимую.
(код ошибки ssl_error_rx_record_too_long)

Ну коли работает только если пересылаешь запрос из локалки напрямую к апачу, то очевидно что проблема с настройкой nginx'а
По поводу webmin'а ничего скахать не могу. Покажи описание его vhost'а в apache

goshanecr писал(а):Ну коли работает только если пересылаешь запрос из локалки напрямую к апачу, то очевидно что проблема с настройкой nginx'а
По поводу webmin'а ничего скахать не могу. Покажи описание его vhost'а в apache

а нельзя в фаерволе пробросить и вебмин так же как и сайты?

а нельзя в фаерволе пробросить и вебмин так же как и сайты?

Можешь попробовать.
проблема та же, что и с доступом по локали к внутр сайтам.

Dark_fisher писал(а):

а нельзя в фаерволе пробросить и вебмин так же как и сайты?

Можешь попробовать.
проблема та же, что и с доступом по локали к внутр сайтам.

лог вебмина, если поможет конечно

tail -f /var/log/webmin/miniserv.log
192.168.1.10 - admin [03/Jul/2012:19:51:54 +0300] "GET /images/blue.gif HTTP/1.1" 200 168
192.168.1.10 - admin [03/Jul/2012:19:51:54 +0300] "GET /right.cgi?open=system&open=status HTTP/1.1" 200 2401
192.168.1.10 - admin [03/Jul/2012:19:51:54 +0300] "GET /left.cgi HTTP/1.1" 200 12570
192.168.1.10 - admin [03/Jul/2012:19:51:54 +0300] "GET /images/logs.gif HTTP/1.1" 200 571
192.168.1.10 - admin [03/Jul/2012:19:51:54 +0300] "GET /images/stock_quit.gif HTTP/1.1" 200 1084
192.168.1.10 - admin [03/Jul/2012:19:51:54 +0300] "GET /images/gohome.gif HTTP/1.1" 200 391
192.168.1.10 - admin [03/Jul/2012:19:51:54 +0300] "GET /images/refresh-small.gif HTTP/1.1" 200 585