nginx redirect rewrite url - kako sakriti port

Imam sajt na Linux virtuelnoj masini koja se nalazi na Windows serveru sa jednom javnom IP adresom. Saobracaj ka virtuelnoj masini je natovan na Windows serveru. U pitanju je server kod Hatzner hosting provajdera.
Obzirom da ne zelim da mi port 80 bude otvoren za javnost na toj IP adresi ja sam Nginx server setovao da slusa na portu 9988.
Na DNS-u mog domena dodao sam novi poddomen koji je usmeren na tu javnu IP adresu, ali, koliko sam shvatio u DNS zapisima ne moze da se unese port samo IP adresa, tako da sada tom web serveru pristupam sa ovako nekim URL-om:
http://poddomen.glavnidomen.com:9988/

Ovo mi se prilicno ne svidja i voleo bih da se ovaj port sakrije iz URL-a.
Da li postoji neki nacin da se ovo elegantno da mu URL bude http://poddomen.glavnidomen.com/ a da se otvara isti sajt i da sve podstranice funkcionisu?

Destination NAT with Port Translation Example

https://docs.paloaltonetworks....-port-translation-example.html

A kako mu destination nat pomaze? I dalje mora da mu bude vidljiv port 80 spolja, samo sto bi mogao da stavi uredjaj koji radi NAT, pa da on natuje... ali nista pametno.

@ksrele: DNS nema veze sa portovima. DNS samo kaze "site.domen.tld" ima adresu "a.b.c.d". Kad to kucas u browser, on otvara konekciju, ako stavis http onda forsiras ne-enkriptovanu konekciju, port 80 je jednostavno browser default. Razmisljam mozes li SRV recordom da hintujes visi port, ali nista pametno time ne bi dobio....

Mozda bi bilo bolje da razmislis sta tacno zelis da dobijes time? Ako zelis da nesto ne bude vidljivo, stavi http basic auth ? Takodje, stavi https i cert, sve jedno - to ti treba.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

Ilustrativno sam postavaio link.


Sve sto spolja dolazi na port 443 ili 80 na windows server koji ima javnu ip adresu postavis pravilo da se prosledjuje na odredjeni host na port 9988.
Oba porta i 80 i 443 takodje moze da zatvori za wan. Ovo je vezano za firewall.

Pitanje je da li windows server sa nekom rolom to moze. Firewall uredjaji to mogu.

Ma OK, ali on kaze " ne zelim da mi port 80 bude otvoren za javnost na toj IP adresi". Ovo sto si ti napravio je port 80 na kome slusa neki uredjaj, koji radi nat. Ali i dalje nesto stlusa na 80 . :) Tom logikom moze samo da prebaci na port 80 - on nema tehnicki problem da to uradi, on iz nekog, njemu znanog razloga, ne zeli da slusa na tom portu.

Ja probam reci da :

- Treba da slusa na tom portu, i na 443 (da digne TLS 1.3)
- Ako nece da mu vidi ceo svet sajt nek stavi http basic auth, a ne da krije port.

Takodje, ono sto je pitao za dns - lepo sam napisao "ne moze" u smislu "ne mozes da dodas u DNS da http u browseru ide na neki xxx port"

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

Mozes da dodas load balancer ispred servera. Tako ces sakriti i IP adresu i port sajta (ne znam samo da li LB kod hetzenera podrzava subdomen).
Bilo bi interesantno cuti i zasto to zelis da uradis. Ne mogu nikako da provalim i ubija me :)

Hvala na odgovorima, ali osecam da trebam malo jos da pojasnim.

Razumem da je bukvalno svejedno da li je port 80 otvoren i na njemu direktno sajt ili je na serveru podeseno preusmeravanje sa porta 80 na bilo koji port ka unutrasnjem serveru.
Sta ja onda hocu?
Pa poenta je da ovaj poddomen nece biti javno objavljen van firme, koristice se samo za internu upotrebu.
Ono sto ja prvenstveno ne zelim jeste da se skeniranjem javnih IP adresa vidi da na mojoj IP adresi ima otvoren port 80 (na port 9988 ce neko teze slucajno naleteti) i da mi se onda na server zalepe razni hakeri zeljni dokazivanja a ja sam bas tanak sto se tice zastite servera u tom domenu. Jos ucim te stvari.

Dakle, idealna situacija, koja tehnicki nije moguca, bi bila da se nekako u DNS zapisu upise informacija da poddomen gadja IP adresu i port ali da se to ne vidi u URL-u.
Alternativna varijanta bi bila da se nekako podesi redirekcija ali na novou DNS-a da kada korisnik ukuca URL http(s)://poddomen.glavnidomen.com/ da ga sistem redirektuje na http(s)://poddomen.glavnidomen.com:9988/ ne znam da li je ovo moguce.
Sajt ce uskoro koristiti i HTTPS protokol ali zada u fazi testiranja ide preko HTTP-a.

Takodje sam citajuci po internetu ustanovio da SRV opcija ne funkcionise za web portove tako da i to otpada.

Ono sto u mojoj glavi izgleda kao moguca varijanta (ali ne znam kako da je sprovedem) jeste da se na javnoj IP podesi slusanje na portu 80 i neka vrsta uslovne redirekcije na osnovu URL-a, pa da ako u URL-u pise naziv poddomena (bez posebnog porta, znaci URL gadja posrt 80) da onda sistem uradi URL REWRITE ili REDIRECT i da korisniku prikaze trazeni sajt. Ali ukoliko neko pristupa javnoj IP adresi bez poddomena da se onda ponasa kao da nema nista na tom portu.
Da li je ovo izvodljivo?

Na kraju ce ispasti da sam promasio forum ukoliko se sve svodi na podesavanje Windows servera.

Ono sto svakako trenutno ne bih uradio to je postavka dodatnog logovanja u vidu http basic auth jer sajt vec ima svoj login sistem.

Nadam se da je sada malo jasnije sta hocu.

OK, ajde da pojansimo jos malo:

DNS nema veze sa ovime. Nema nikakvog nacina da DNS promeni port. :D

Ako zelis da sajt ne bude dostupan spolja treba da :

- Ostavi DNS i port standardno. Nema razloga da to menjas.
- Zatvroi na firewall-u pristup od spolja. Jednostavno, zabrani na edge-u, na ruteru, firewall-u, ili na samom serveru pristup sa adresa koje nisu iz firme.

Resen problem :D

Mozes uvek da dodas basic auth, njega korisnici mogu da zapamte jednom i da ga nikad vise ne trazi.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

@nkrgovic

Sajt mora da bude dostupan i iz WAN-a jer kolege moraju da mu pristupaju sa terena. Ne želim da im komplikujem život sa VPN-om za sada, barem ne ovima što koriste telefone i tablete za pristup. Kolege sa laptopovima koriste VPN.

Ma ništa, opušteno. Ne moram ja ovo podesiti kako želim jer i ovako radi samo malo ružno izgleda i korisnici mogu nekad slučajno pogrešiti i zaboraviti upisati port pa će me cimati da sajt ne radi a problem je kod njih.

Razmisliću još da li da na toj javnoj IP adresi otvorim port 80 ili ne...

Hvala svima na pomoći. Ovo ne znači da je diskusija završena, ako neko ima da doda nešto korisno neka slobodno napiše.