Задача

Есть Web-сервер на IIS, обслуживающий клиентские запросы во внутренней подсети.

Стала задача предоставления части услуг, обеспечиваемых этим web-сервером, внешним пользователям через интернет.

Однако было необходимо, чтобы внешние пользователи могли получить доступ только к ограниченному (заданному) списку адресов URL.

Учитывая большое количество других ресурсов, обслуживаемых нашим сервером IIS, а также факт доступа к этому серверу команды разработчиков, да и в целом это не отдельный сервер, а кластер NLB с несколькими узлами (что заставило бы править разрешения на всех узлах каждый раз, при необходимости что-либо добавить или поменять) было принято решение не заморачиваться с правами web.config (дабы исключить дальнейшую потенциальную угрозу безопасности) и развернуть отдельный Linux сервер и настроить на нем обратный веб-прокси-сервер средствами Nginx.

Ссылки, необходимые для выставления наружу:

http://10.0.0.2/arcgis/rest/services/gis_ort_stat_general/MapServer

http://10.0.0.2/arcgis/rest/services/dug_multi/MapServer

Установка и настройка Nginx

[]# yum -y install net-tools bind-utils telnet wget tree mlocate vim gcc cifs-utils samba-client tcpdump zip unzip whois openssh-clients screen bash-completion # Изначально я установил и обновил CentOS 7 Linux в сборке Minimal, поэтому ставлю базовые утилиты, которые могут понадобиться для работы

[]# yum -y install epel-release # Устанавливаем репозиторий EPEL

[]# sed -i -r 's/^enabled=1/enabled=0/g' /etc/yum.repos.d/epel.repo # Лично я не люблю когда дополнительные репозитории включены по умолчанию, поэтому исправляем в конфиге epel значение enabled на 0

[]# yum -y --enablerepo=epel install htop saidar # Устанавливаем базовые утилиты из репозитория Epel

[]# yum -y --enablerepo=epel install nginx # Устанавливаем веб-сервер Nginx

[]# firewall-cmd --permanent --zone=public --add-service=http # Открываем 80 порт в брандмауэре для Public зоны
success

[]# firewall-cmd --permanent --zone=public --add-service=https # Открываем 443 порт в брандмауэре для Public зоны
success

[]# firewall-cmd --reload # Заставляем брандмауэр применить конфигурацию
success

[]# vim /etc/nginx/nginx.conf # С корректировками заменяем конфиг на следующий
worker_processes 5;

events {
        worker_connections 1024;
}

http {
        server {
                listen 80;
                server_name external.domain.com www.external.domain.com;
                location /arcgis/rest/services/gis_ort_stat_general/MapServer {
                        proxy_cache                             off;
                        proxy_set_header x-real-IP              $remote_addr;
                        proxy_set_header Host                   $http_host;
                        proxy_set_header X-Forwarded-For        $proxy_add_x_forwarded_for;
                        proxy_pass                              http://10.0.0.2/arcgis/rest/services/gis_ort_stat_general/MapServer;
                }

                location /arcgis/rest/services/dug_multi/MapServer {
                        proxy_cache                             off;
                        proxy_set_header x-real-IP              $remote_addr;
                        proxy_set_header Host                   $http_host;
                        proxy_set_header X-Forwarded-For        $proxy_add_x_forwarded_for;
                        proxy_pass                              http://10.0.0.2/arcgis/rest/services/dug_multi/MapServer;
                }
        }
}

[]# nginx -t # Проверяем конфиг на ошибки
nginх: the configuration filе /etc/nginх/nginх.conf syntax is ok
nginх: configuration filе /etc/nginх/nginх.conf tеst is successful

[]# systemctl enable nginx # Включаем nginх в автозагрузку

[]# reboot # Перезагружаем систему

[]# systemctl status nginx # Проверяем работу после перезагрузки
nginх.sеrvice - The nginх HTTP and reverse proxy server
   Loaded: loaded (/usr/lib/systemd/system/nginх.sеrvice; enabled)
   Active: active (running) since Fri 2015-07-03 12:02:43 EEST; 7s ago
   {Output ommited}...

При доступе с клиента (браузера) к настроенному web-reverse-proxy обратите внимание на правильно сконфигурированный DNS