ip adressen blokkeren

[ericbont]

Hi,

Een klant van me wil uit beveiligingsoverwegingen slechts 22 personen toegang geven tot zijn CRM-applicatie die op internet draait. Alle 22 personen hebben via een adsl verbinding toegang tot internet op basis van een vast ip-adressen. Uiteraard heeft de CRM applicatie een eigen inlogprocedure maar ter extra beveiliging wil deze klant ook ip adressen blokkeren.

Via Cpanel kan ik wel ip-adressen opgeven en blokkeren maar bestaat er ook een mogelijkheid om alle mogelijke bedenkbare ip-adressen te blokkeren met uitzondering van de 22 bekende en vertrouwde ip-adressen?

Voegt dit overigens iets zinvols toe vanuit beveiligingsoogpunt?

Alvast dank voor een reactie

Groet
Eric

[phreak]

mjah, even googlen op hosts.allow / .deny, daarin kun je ip's toestaan en/of blokkeren.

[Unixboy]

Ik geef je de tip om je eens te gaan verdiepen in;
- iptables (www.iptables.org)

Omdat je nu natuurlijk nog niet weet hoe het geheel en principe werkt zijn er ook al voorgebouwde firewalls denk hier aan;

- APF (http://www.r-fx.org/apf.php)
- KiSS (http://www.geocities.com/steve93138/)

Als je KiSS gaat gebruiken even: http://forums.ev1servers.net/showthr...239#post229239 raad plegen.

Edit: Alleen relevante info laten staan

[Dillard]

Zoals Phreak al zegt, gewoon /etc/host.allow gebruiken.

Standaard policy: deny
Allow: alleen de 22 adressen (plus evt. nog een adres van jullie voor beheer). Server is dan simpelweg niet toegankelijk voor andere servers.

[Unixboy]

Origineel geplaatst door Dillard
Zoals Phreak al zegt, gewoon /etc/host.allow gebruiken.

Standaard policy: deny
Allow: alleen de 22 adressen (plus evt. nog een adres van jullie voor beheer). Server is dan simpelweg niet toegankelijk voor andere servers.

Dit werkt dus niet op een server waar je ook hosting op draait.

Ik neem namelijk aan dat dit het geval is, dan dient Eric zich toch te verdiepen in iptables.

[MaffeMuis]

Als je nog een extra IP in bezit hebtt. De website op dat ip zette.
Alles blokkeren via je vuurmuur, op port 80, op dat extra ip adres. Behalve de ip's er wel opmogen.

Let op, wel alleen port 80 (of waar die aplicatie op draait) anders komt e-mail en dergelijke ook niet binnen

Neem aan dat de meeste mensen wel een vuurmuur hebben draaien.

[FransVanNispen]

Je kunt toch gewoon een .htaccess in de webroot zetten?

[ericbont]

Wat zou ik in het .htaccess bestand moeten opnemen om alle ip-adressen te blokken?

Groet
Eric

[MaffeMuis]

order allow,deny
deny from all
allow from 123.45.6.7
allow from 012.34.5.6


maar volgensmij gaat het niet werken, denk ik..


edit: Als het niet werk moet je ff
order allow,deny

omdraaien naar

order deny,allow

[Unixboy]

ik zou mijn ACL nooit laten managen door apache.

Wat als de klant perongeluk .htaccess verwijderd en de potentiele data komt op straat dit lijkt me geen risico dat je wilt kunnen oplopen.

(Natuurlijk kun je het wel dubbel doen )

[ericbont]

Met .htaccess werkt inderdaad prima. Bedankt.

ps: de .htaccess is bedoeld als extra beveiliging. Daarnaast heeft de applicatie een eigen SSL inlogbeveiliging. Waarom zou dit onvoldoende cq onveiliger zijn dan een VPN verbinding?

Gr,
Eric