Newsgroup: it.comp.sicurezza.unix
Titolo: Protezione sito ammettendo solo specifici Ip Addresses

Salve, vorrei proteggere il mio sito ammettendo l'accesso solo a
specifici Ip addresses.
Non sono esperto della materia.
Ringrazio chiunque avrà la pazienza di aiutarmi
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 specifici Ip addresses.
puoi usare
tcpwrappers
apache -> "allow from ..." , "deny from ..."
-- 
Campagna europea per la pulizia in ics.*
Ogni post provocatorio o polemico verra' automaticamente killato 
assieme al suo poster.
http://www.google.com
 - 
http://groups.google.com/advanced_group_search



 apache -> "allow from ..." , "deny from ..."
Apache dovrebbe essere compilato con il supporto per tcp wrappers: e'
possibile?
Comunque puoi anche usare:
/etc/httpd/conf/allow.conf
o un packet filter, che mette al riparo anche da spiacevoli bugz del
wrapper.
Fabio

 possibile?
Sembra di si. Comunque la riga da inserire in hosts.[allow|deny]
si deve riferire a httpd e non ad apache.
Fabio

 wrapper.
E usare anche le direttive di apache "allow from" e "deny from"


 si deve riferire a httpd e non ad apache.
beh, ovio. :)
quei tag che riportavo vanno messi in /etc/apache/access.conf (debian)


Grazie.
Ho scaricato una specie di tutorials dalla rete e le cose sono piuttosto
chiare.
Una domanda (lo so che č stupida, ma sono completamente ignorante della
materia ;-) ):
Come faccio ad arrivare a:
tcpwrappers
apache -> "allow from ..." , "deny from ..."
Mi spiego meglio: io mi collego con il mio programma FTP, e poi cerco la
cartella giusta?
Devo digitare su internet il path per accedervi? se sě, quale potrebbe
essere?
Grazie ancora dei preziosissimi consigli!


 cartella giusta?
no, quello che ti ho indicato era un suggerimento:
puoi usare tcp wrappers
oppure configurando apache, utilizzando i tag suggeriti.


> beh, ovio. :)
Si, si, lascia perdere... questo pomeriggio vado a prendere un po' di
esche e provo a darmi alla pesca, che e' meglio.
Fabio

 oppure configurando apache, utilizzando i tag suggeriti.
Ok, grazie.
Una (ennesima!?)domanda: se non ho un server Apache, 
non è possibile intervenire bloccando gli IP?


 non è possibile intervenire bloccando gli IP?
Ma scusa: non fai prima a dirmi che software usi?
Comunque ogni web server che si rispetti puo' fare questo tipo di 
controllo, ed in ogni caso se puo' essere configurato con tcpwrappers, ci 
pensa quest'ultimo (perdendo un po' di flessibilita').
Poi, ci pensavo questa notte, esisterebbero anche dei metodi basati su 
java o javascript, ma sono molto molto blandi e molto facilmente 
aggirabili.


Ma scusa: non fai prima a dirmi che software usi?
Credo che la domanda sia differente, e nel caso la risposta e`:
Se _non_ hai nessun http server, puoi bloccare gli ip con un packet
filter.
nota come con un PF puoi farlo "indipendentemente" dal software di
servizio che gira sulla macchina
-- 
Maurizio - Tannoiser - Lemmo
STIGE Srl Servizi Informatici
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 Non sono esperto della materia.
Si vede ;-)
Piu' che altro vedo molta molta confusione.
Parli generalmente di "protezione sito" ma poi non si capisce se solo
http, oppure ftp o che.
Non si capisce con quali software lo vuoi fare.
Insomma... non si capisce nulla ;)
Io vorrei due informazioni in piu':
prima e piu' importante: il server su cui e' il sito lo gestite voi?
In caso positivo avete piu' scelte che vedremo dopo
In caso negativo potete probabilmente solo fare una discriminate
attraverso un linguaggio tipo php, asp o quello che usi. del tipo: la
pagina me la chiede 123.123.123.123 allora gli faccio vedere questo in
caso contario gli faccio vedere un deny.
poco sicuro ma non credo tu possa fare altro.
Se il server e' vostro, se la rete e' vostra le possibilita' si dividono
sostanzialmente in due:
1) il server httpd (il server web per intenderci) discriminera' su chi
puo' e chi non puo' accedervi. naturalmente ogni server funziona a modo
suo e puo' avere o meno questa caratteristica.
2) un firewall prima di quel server o su quel server direttamente.
E' la soluzione che IO preferirei perche' e' la piu' semplice, sicura,
flessibile.
Per ogni s.o. ci sono firewall, alcuni buoni, altri meno, alcuni
integrati altri costosi ed inutili, tutto dipende dal s.o. e da quello
che devi fare. con un fw di questo tipo posso impedire l'accesso non solo
al web server ma a tutta la macchina, o a porte particolari. posso
redirigere le chiamate verso altri "lidi" ecc. ecc.
Se dovete ancora realizzare il tutto io consiglierei un bsd (vedi firma
;-)) o linux.
Hanno la possibilita' di farci girare un ottimo server web (apache) ed
hanno entrambe un ottimo firewall (anzi.. piu' di uno) direttamente nel
kernel.
Consiglierei inoltre che l'installazione ve la faccia qualcuno esperto...
le cagate fatte all'inizio poi e' difficile toglierle 9e magari e' troppo
tardi)!
Saluti
-- 
* Cristiano Deana - Amante del demone rosso col forcone in mano *
* Wind*ws non danneggia, i formati proprietari si'. Boicottali! *
* Il tuo HTML si e' mangiato la banda che serviva al mio reply! *

Dunque, in quanto a confusione hai perfettamente ragione. 
Questo perchè non so praticamente nulla della materia, ma devo trovare
un modo di riservare l'accesso ad uno (o più) specifici IP.
Il sito è su un Server semi-dedicato, di tipo Apache 8mi sono informato
dal provider)
In pratica, gestiscono loro il tutto.
Solo oggi hanno risposto alle mie pressanti domande sull'argomento. mi
hanno detto che su richiesta possono intervenire, ma finchè non parlo a
voce con un tecnico non posso esserne certo al 100%
Potevi dirlo prima, potreste dire, ed avete ragione. il fatto è che sino
a ieri non ne sapevo nulla di come fare, come intervenire... Adesso
inizio adavere le idee chiare.
vi ringrazio tutti, per la pazienza e per la competenza.
Immagino che nel mio caso:
1) si possa fare qualcosa;
2) lo debba fare il mio mantainer;
una cosa relativamente a quanto detto da Happy Cactus:
"Poi, ci pensavo questa notte, esisterebbero anche dei metodi basati su
java o javascript, ma sono molto molto blandi e molto facilmente 
aggirabili"
In caso ci siano problemi con la soluzione ottimale, potresti darmi
maggiori info sul javascript? Ovviamente se cel'hai a portata di mano.
Anche se lil livello di sicurezza sarebbe molto basso, per iniziare
sarebbe meglio di niente, in più mi muoverei in un campo a me più
congeniale ;-)
Lascio il mio indirizzo e-mail: 
fer...@virgilio.it
So che ho abusato della vostra disponiblità e vi ringrazio moltissimo.
davide


 maggiori info sul javascript? Ovviamente se cel'hai a portata di mano.
Veramente e' solo un pensiero.
Puoi ricostruire tramite javascript l'indirizzo IP del client, inserirlo 
in una form ed inviarlo, oppure costruire un biscottino.... ma e' tutta 
da valutare e assolutamente inaffidabile dal punto di vista della 
sicurezza, in quanto e' facilmente costruibile una richiesta http che 
simuli tale form.... insomma, non e' affatto semplice (grc utilizzava un 
metodo simile nella sua pagina relativa al portscan, ed infatti e' stato 
criticato su bugtraq poiche' tale metodo era utilizzabile per far 
scannare altri host da quel server)
un'altra possibilita' e' utilizzare php o perl, attraverso la variabile 
d'ambiente $REMOTE_HOST; si trattera' di scrivere un codicillo del tipo
<?php
	$remoteip = gethostbyname ($REMOTE_ADDR);
	if ($remoteip == "host")
		accept_authentication();
	else
		reject_autentication();
?>
beh... piu' o meno :)
Questo e' decisamente piu' sicuro, ma meno elegante.
E poi devi avere a disposizione la possibilita' di caricare codice attivo 
(php/perl/asp) ... cosa non tanto infrequente, comunque. e poi, 
ovviamente, devi conoscere php! :)
HappyCactus che comincia
