Reverse Web-Proxy in Windows Server einrichten

Dies hat den Vorteil, dass der Client nach außen nicht sichtbar ist, da er hinter dem Proxy steht. Ein Forward-Proxy kann auch genutzt werden, um gewisse Web-Seiten zu blockieren.

Windows-Bordmittel vs. Lösungen von Drittanbieten

Ein Reverse-Proxy dagegen arbeitet in die andere Richtung, also nicht aus dem internen Netzwerk ins Internet, sondern von außerhalb der Firewall ins Firmennetz. Er dient hier als Absicherung für interne Services, welche vom Internet aus erreichbar sein sollen, aber aus Sicherheits­gründen nicht direkt angesprochen werden dürfen.

Viele Unternehmen setzen als Proxy eine Linux-Appliance mit Apache oder Ngnix ein. Aber auch von verschiedenen Firewall-Herstellern gibt es dafür eigene Lösungen. Windows Server bietet für seine IIS eine solche Funktion, die man um ein separates Modul ergänzen muss.

IIS auf Server in der DMZ installieren

In meinem Netzwerk platziere ich eine VM mit Windows Server 2016 in der DMZ (demilitarisierte Zone). Hierauf installiere ich den IIS im Server Manager mit dem Wizard zum Hinzufügen von Rollen und Features (Rolle "Web-Server").

Neben den standardmäßig aktivierten Subfunktionen wählt man hier beim Schritt Rollendienste hinzufügen folgende Komponenten aus:

• HTTP-Umleitung
• Komprimieren dynamischer Inhalte
• IP- und Domäneneinschränkungen
• Standardauthentifizierung
• ISAPI-Erweiterungen
• ISAPI-Filter

Ordner für die neue Webseite erstellen

Im Verzeichnis inetpub erstelle ich nun den Ordner

C:\inetpub\sites\Proxy

für die neue Website. Weiter geht es im IIS Manager, um die dazugehörige Website zu erstellen. Dazu führt man aus dem Kontext­menü des Servers den Befehl Website hinzufügen aus.

Im folgenden Dialog gibt man den Namen für die Site und den Pfad zum Verzeichnis an, das man eben gerade angelegt hat. Schließlich ist noch die Eingabe des Hostnamens erforderlich.

Application Request Routing 3.0 installieren

Als nächstes wird das Feature Microsoft Application Request Routing 3.0 gebraucht. Es ist nicht Teil des Betriebs­systems und muss daher von Microsofts Website heruntergeladen werden.

Es liegt als MSI-Paket vor, dessen Installation man nun startet. Das Setup läuft nach dem Akzeptieren der Lizenz­bedingungen durch.

Im Anschluss daran sollte in der IIS-Management-Konsole das Icon für Application Request Routing Cache erscheinen.

Dieses öffne ich nun und klicke dann in der rechten Leiste auf Server Proxy Settings.

Hier muss man den Haken bei Enable proxy setzen.

Anschließend klickt man in der rechten Leiste auf Übernehmen, um den Vorgang abzuschließen. Ohne die Konfiguration dieser Einstellung erhalten wir beim Aufruf einer Seite ohne ersichtlichen Grund einen HTTP-404-Fehler.

DNS-Einträge erstellen

Ohne einen DNS-Eintrag kann die Seite natürlich nicht aufgerufen werden. Deshalb lege ich im nächsten Schritt einen A-, AAAA- oder CNAME-Eintrag für die neue Website an. Für das Firmen-LAN muss der Host auf einem internen DNS-Server eingetragen werden, extern dann auf dem DNS-Server, auf dem die jeweilige Domäne gehostet wird.

Zudem muss man ggf. auch die Firewall oder der Router so konfigurieren, dass der eben erstellte Server von außen erreichbar ist. Schließlich sollte das Port-Forwarding möglichst über Port 443 (also verschlüsselt) laufen.

Für die Verschlüsselung benötigt man ein entsprechendes Zertifikat, das von einer anerkannten Zertifizierungsstelle ausgestellt sein sollte.

HTTP-Umleitung

Damit die interne Seite jetzt auch über den Proxy erreichbar ist, muss eine Umleitung eingerichtet werden. Diese kann man direkt über die Web.config einrichteten oder aber über den IIS-Manager. Dort wählt man in der linken Navigation die betreffende Website aus und öffnet dann im Hauptfenster des Symbol HTTP-Umleitung.

Wenn nun in meinem Beispiel ein Client die Adresse proxy.eich.local aufruft, dann sollte er an die Adresse ccu.contoso.local weitergeleitet werden.

Neben der Nutzung von HTTPS sollte man seine Websites schützen, indem man grundsätzlich eine Anmeldung mit Benutzernamen und Kennwort erzwingt, um den Zugriff durch Unbefugte zu unterbinden.