Попадание в Webservice на другую подсеть

Question

Я знаю, что это вопрос сервера, но я хотел спросить в любом случае, если кто-то это сделал раньше.

У меня есть веб-служба, которая находится на нашей внутренней подсети 172.x.x.x и веб-сервере, который находится в нашей внутренней подсети 10.x.x.x. Веб-серверу необходимо нажать на веб-службу 172, но не может туда добраться. Реальное решение было бы убедить наших сетевых администраторов разместить сервер в сети 172 позади DMZ, но это решение кажется далеким.

Моим быстрым и грязным решением является создание прокси-сервера на ящике, который подключается к обеим сетям, поэтому я могу запрограммировать свои вызовы веб-сервисов, чтобы попасть на прокси-сервер. Тем не менее, я разработчик и мало знаю, как это сделать.

У меня есть друзья, которым повезло с Squid Proxy Server в Nix, но единственным ящиком, который доступен для меня, является окно Windows Server 2003. В идеале, я бы хотел, чтобы какой-то прокси-сервер, который я мог настроить поверх IIS. Вы, ребята, ничего не знаете? Я видел несколько обзоров для ISA Server 2006, но мне не хотелось бы взимать корпоративный бюджет, поскольку нам нужен только этот веб-сервис.

Answer 1

Как вы упомянули, лучшим вариантом является перерезание веб-сервера в DMZ. Это невозможно, посмотрите, могут ли wiremonkeys открыть соответствующий порт в брандмауэре только между сервером и веб-службой (и только для трафика http/https). Если оба невозможны, я предполагаю, что прокси возможно (если прокси-серверу разрешено ретранслировать между двумя сетями).

Тем не менее, я все время спрашиваю себя, при каких обстоятельствах у вас может быть веб-сервис, для которого у вас есть деловые потребности, но вам не разрешено выставлять его на «Z»? Являются ли ваши проволочные ключи настолько устойчивыми к изменениям, что вы не можете выполнить свою работу? Если так, прыгай корабль, чувак! Жизнь слишком коротка.

Answer 2

Это действительно быстро и грязно, но вы можете использовать инструмент tcpmon на компьютере с Windows, который имеет доступ к обеим сетям.

Answer 3

Я должен согласиться с Данималом, что правильный способ справиться с этим будет состоять в том, чтобы соответствующие отверстия были вытолкнуты в брандмауэре. Особенно, если, как вы сказали, интерфейс очень важен для приложения, ориентированного на клиента.

Мне кажется, что «клиенты, затронутые проблемой 1000», являются прекрасным бизнес-кейсом, чтобы убедить сетевых администраторов или, возможно, их боссов, затратить усилия на безопасное разрешение вашего трафика.