Bekijk Volledige Versie : ConfigServer Security and Firewall api
kickntodabeat
16/09/24, 21:09
Ik zou willen vanuit ons klantenpaneel een kopje toevoegen waarin klanten hun ip kunnen toevoegen aan ConfigServer Security and Firewall via Directadmin.
Directadmin zelf bied hier geen api mogelijkheden voor aan, ook CSF niet, voor zover ik kan zien.
Bestaat hier nog een andere mogelijkheid voor?
Ik denk dat de enige mogelijkheid is om geautomatiseerd in te loggen via SSH en vervolgens een commando uit te voeren om het IP aan de allow list toe te voegen: csf -a ip [comment]
stefantriep
17/09/24, 09:37
Vraag me wel af waarom je dat zou willen, al je klanten whitelisten is een slecht idee
Ramon Fincken
17/09/24, 12:30
Wij hebben het omgedraaid, een cron die ons klantenpaneel checkt voor "hef mijn blokkade op" verzoeken.
Whitelisten doen we niet aan overigens.
kickntodabeat
19/09/24, 13:16
Kun je me even uitleggen hoe dit precies werkt?
De cron bekijkt of een ip in csf staat in het klantenpaneel en de klant krijgt dan een mail?
Ramon Fincken
19/09/24, 13:45
Nee, iemand logt in op het klantenpaneel. Daarin staat in de DB de imports van de denylists van alle servers zodat je een lookup kunt doen
als er een hit is dan kan de klant klikken op deblokkeren. De servers halen individueel hun verzoeklijst tot deblokkade op en voila.
Het is niet realtime maar het werkt.
Vraag me wel af waarom je dat zou willen, al je klanten whitelisten is een slecht idee
Dat is inderdaad de vraag die je, je moet stellen, waarom komen de klanten in de eerste plaats al in een blacklist. Want als ze zich normaal gedragen zou dit nooit mogen voorvallen.
Het beste is inderdaad een portaal te voorzien waarin je kan "delisten", als tip kan ik ook nog meegeven om hier bvb ook een extra check in te bouwen en een lijst te maken met timestamps en het ip bvb toelaten dit 1 keer per X tijd te doen. Want nogmaals als een klant elke minuut zijn ip uit de lijst moeten halen is er een onderliggend probleem dat opgelost moet worden (bvb typo in email wachtwoord of iets dergelijks of nog erger een gehackte pc). En laat ook niet toe dat de klant zelf een ip kan invullen, maar gebruik het ip adress van zijn verbinding en zorg dat je portaal bruikbaar is buiten de firewall om.
Ramon Fincken
20/09/24, 09:12
Dat is inderdaad precies wat wij doen. Eigen IP enkel, tenzij het een reseller is die voor zijn klant wat invult. Ook toont hij de reden.
kickntodabeat
25/09/24, 13:26
Dat is inderdaad precies wat wij doen. Eigen IP enkel, tenzij het een reseller is die voor zijn klant wat invult. Ook toont hij de reden.
En hoe leggen jullie connectie tussen jullie klantenpaneel en csf? Is dit puur met ssh? Want er is geen api beschikbaar zie ik.
Ramon Fincken
25/09/24, 14:22
dat is maatwerk via HTTPS
En hoe leggen jullie connectie tussen jullie klantenpaneel en csf? Is dit puur met ssh? Want er is geen api beschikbaar zie ik.
Je kan dit op verschillende manieren doen, ssh, of omgekeerd data pullen op de servers, of nfs share, pick your poison. Maar de manier waar ik het altijd op gedaan heb is api op het portaal zelf en dan een sync draaien op de "web" server die de block lijst via het portaal (api) update. Misschien ook een optie om csf in cluster mode te draaien en je portaal bvb achter cloudflare te steken en dan lokaal csf commando uit te voeren? Let er dan wel even op dat je het forward ip gebruikt dat cloudflare mee geeft en niet het cloudflare ip ;).