Onderwerp: CloudFlare en htaccess

Heren,

Ik heb sinds kort CloudFlare, erg tevreden. Ik doe het vooral vanuit security oogpunt.
Het maskeert mijn werkelijke ip, en eveneens de poorten die mogelijk open staan. Maar nu zie ik mijn logging dat er nog steeds bezoekers komen die mij via mijn ip adres benaderen. Dit wil ik niet. Ik wil dat je alleen op mijn site kan komen als je door de cloud van CloudFlare gaat.
Nu wil ik dit oplossen met htaccess, maar het lukt me niet.
Het probleem zit hem erin dat htaccess kijkt naar originating ip-adress. Ik wil graag dat htaccess kijkt naar "proxy" en op basis van de gewhiteliste ip-adressen van cloudflare internet toegang toe laat.
Iemand deze opzet al eens geprobeert en succesvol hierin?
Graag tips!

Het originating IP is toch een van cloudflare? Als je het IP van de gebruiker wilt weten moet je kijken naar de X-Forwarded-For variabele.

Volgens mij is het proxy ip op die manier niet in htaccess te krijgen, op die laag is het ip adres al omgezet. Als je het op server niveau zou willen kan je dit in de firewall regelen.

Volgens mij kan je gewoon REMOTE_ADDR gebruiken, althans daar staat bij ons doorgaans het IP van de Load Balancer in. X-Forwarded-For bevat als het goed is het IP van je bezoeker.

Dan heb je de Cloudflare module niet, die zorgt er voor dat het REMOTE_ADDR juist wordt omgezet.

Oorspronkelijk geplaatst door Arieh

Dan heb je de Cloudflare module niet, die zorgt er voor dat het REMOTE_ADDR juist wordt omgezet.

Ik ken Cloudflare niet maar Apache heeft daar zelf een module voor: http://stderr.net/apache/rpaf/

Voor Apache 2.4 is mod_rpaf overigens niet meer nodig, mod_remoteip wordt er nu standaard bijgeleverd.

Ik denk dat het toch een lastig verhaal wordt dit op website niveau te regelen.

Cloudflare servers whitelisten en de rest blokken. Elke andere oplossing met .htaccess degradeert je toch al dubieuze security aanpak tot 0,0.

Wat vind jij hier precies dubieus aan systemdeveloper?

Wat ik vooral probeer te doen is mijn ip adres hiden. Dus ik wil dat men niet in staat is een link te leggen tussen de weergegeven pagina op het ip-adres van cloudflare en mijn werkelijke ip adres. Dit omdat cloudflare beter bestand is tegen DDoS dan dat mijn hoster dat is.
Niet dat ik een DDoS verwacht, maar, just to be sure.
Daarbij verklein ik de kansen van een succesvolle aanval op mijn server waar belangrijke data op staat. De server heeft namelijk ook gewoon ssh en een mysql db die via internet bereikbaar moet zijn.
Wanneer aanvallers nu mijn webadres weten, zie ze niets anders dan wat er achter poort 80 draait. Mijn ssh en mysql zullen ze niet zo 1/2/3 vinden. Het is Security through obscurity, maar we zijn allemaal mens dus ik probeer alle mogelijke kansen te verminderen.
Verder denk ik dat de beste oplossing inderdaad een firewall zal worden...

Oorspronkelijk geplaatst door Robert1985

Wat vind jij hier precies dubieus aan systemdeveloper?

Verder denk ik dat de beste oplossing inderdaad een firewall zal worden...

Iemand die je plat wilt hebben vind je ipadres redelijk snel, tenzij je ALLES hebt dichtgetaped
.htaccess is niet echt bedoeld om iets van beveiliging te leveren en is daar ook gewoon niet goed in, met name omdat de server op e.o.a. manier zal reaferen op basis van de .htaccess en je daaraan al kunt 'aflezen' dat je de server te pakken hebt. Een firewall die 0,0 reply geeft, zal een ddos-er met zijn handen in het haar zetten.

Als je andere poorten wel nog open hebt, dan kun je daar hetzelfde ddos probleem krijgen en dan zou al je moeite voor niks zijn geweest.

Vaak hoef je maar in te schrijven op een nieuwesbrief en kun je aan de headers ervan al het ip vinden. 9 tegen 10 dat de webserver op de dezelfde server dan de mailserver draait en voila. Alle moeite voor nop.

Google maar naar "security through obscurity"