Ich betreibe eine Webanwendung, die nur für eine kleine Anzahl von Personen mit Tablets zugänglich sein soll. Sie wird über Port 80 eines Servers bereitgestellt, der sich in unserem lokalen Netzwerk hinter dem ISP-Router befindet.
Die Frage ist: Wie kann ich den Zugriff für autorisierte Benutzer sicherstellen, ohne dass andere Benutzer darauf zugreifen können? Für nicht autorisierte Benutzer sollte die Verbindung mit einem Reset beendet werden, als wäre der Port nicht geöffnet.
Ich habe darüber nachgedacht, einen Port am Router zu öffnen, ihn auf den Server umzuleiten und mit einem Zertifikat zu sichern, aber ist das überhaupt möglich?
Eine andere Lösung könnte die Installation eines VPN sein, dies könnte für manche Benutzer jedoch zu schwierig zu verwalten sein.
Antwort1
Es gibt viele Möglichkeiten, dies zu tun, aber die richtige hängt davon ab, welche anderen Sicherheitsmechanismen Sie eingerichtet haben. Beispiele:
- Client-Zertifikate. Dies ist durchaus möglich, außer Sie möchten Port 80 verwenden, der normalerweise unverschlüsselt ist. Sie müssten Ihren Webserver neu konfigurieren oder einen Proxy davor setzen, aber das ist durchaus möglich. Wie dies mit Apache funktioniert, wird hier beschrieben:https://httpd.apache.org/docs/2.4/ssl/ssl_howto.html#allclients
- Filtern Sie nach IP- oder MAC-Adresse auf Netzwerkebene, also in der Firewall.
- Verwenden Sie wie erwähnt ein VPN. Dies kann für Benutzer relativ transparent gemacht werden.
- Suchen Sie nach einem Authentifizierungsheader auf dem Webserver oder einem davor liegenden Proxy.
Es gibt zweifellos noch mehr. Einige davon sind nicht geeignet, wenn Sie keine zusätzlichen Authentifizierungsmethoden eingerichtet haben, beispielsweise können MAC-Adressen leicht gefälscht werden. Andere Optionen werden verfügbar, wenn Sie die Anforderung lockern, dass der Netzwerkport geschlossen erscheinen muss, da viele Authentifizierungsmethoden erst funktionieren, wenn der Port geöffnet ist.
Antwort2
Ihre Frage ist irgendwie allgemein gehalten. Sie können eine oder mehrere der folgenden Aktionen ausführen:
- Fordern Sie einen gültigen Benutzernamen/ein gültiges Passwort für den Zugriff auf Ihre Web-App an. Dies kann auf Anwendungsebene oder auf Webserverebene erfolgen (z. B. apache2).
- Schützen Sie den Zugriff auf diese IP/diesen Port, indem Sie eine Firewall konfigurieren. Nur bestimmte IPs sind zulässig. Andere werden abgelehnt. Dazu benötigen Sie eine Liste der IPs Ihrer Benutzer.
- Leiten Sie Benutzer von http (Port 80) auf https (Port 443) um, um sie vor Angriffen wie Man-in-the-Middle-Angriffen zu schützen.
- Halten Sie den Serverzugriff privat und tunneln Sie den Datenverkehr Ihrer Benutzer zu Ihrem Netzwerk (eine der VPN-Lösungen, die eine Authentifizierung erfordern).