Newsgroup: it.lavoro.informatica
Titolo: [OT-tecnico] Autenticazione web e nat...

So di essere fuori tema ma probabilemente qualcuno di voi sa di cosa parlo.
 
Ho alcuni client in una lan che accedono a internet tramite un modem ethernet
ADSL che, tra le altre cose, fa NAT degli ip privati della LAN sull'IP
pubblico dinamico assegnato alla connessione.
 
Ho un grave problema di accesso alle pagine web (https) protette da password.
Le normali pagine funzionano correttamente, quando provo ad accedere ad una
pagina ad accesso riservato inserisco username e password e il browser si
blocca.
 
Credo che il problema sia il nat infatti collegandomi alle stesse pagine con
la normale linea telefonica dove l'IP pubblico è sulla connessione PPP
funziona tutto correttamente.
 
Come funziona nel dettaglio l'autenticazione web? Forse il server tenta di
connettersi ad una porta del client che è bloccata dal nat?
 
Qualcuno di voi ha avuto questo problema?
Vi avviso, il nat del modem non è molto gestibile (non ho iptables tra le
mani) :-)
Qual'è la soluzione che mi sfugge?
 
Grazie
 
-- 
Caronte
-- 
Inviato da 
Newsgate.Localinfo.IT
 
http://newsgate.localinfo.it
Powered by Localinfo.IT 
http://www.localinfo.it

 Grazie
Ciao, buongiorno...

 di errore in chiaro te lo dia)
Nope, "in chiaro" e "HTTPS" non vanno molto d'accordo, ovviamente :^)
Venendo alla domanda originale, se pagine https ove non c'e' richiesta
di credenziali funzionano correttamente, dal punto di vista della
connettività il NAT funziona. Se il blocco accade sempre sullo stesso
sito, penserei più ad una misura di sicurezza un po' draconiana
implementata dallo stesso (tipo che rifiuta l'accesso se arrivano
login diversi con lo stesso IP origine). Ad una normale autenticazione
"user/pw" non può fregare di meno se arrivi da un NAT o da un PPP, ma
se su quel sito c'e' un'autenticazione più avanzata che utilizza
componenti client side (smart cart, certificati, ecc.), può essere
necessario approfondire il meccanismo.
bye!

 connettersi ad una porta del client che è bloccata dal nat?
sia http che https tutto avviene su connessioni dal client verso il
server. quindi il nat non può essere un problema.
da verificare piuttosto il firerewall, perchè in alcuni (furbi) casi
l'autenticazione viene rediretta su una porta non standard e quella di
non far passare https su porte non standard è una regola abbastanza
tipica. il sso di oracle, ad esempio, di default fa qualcosa del
genere.

 blocca.
Domanda forse banale, ma non si sa mai: quali porte vengono NATtate dal 
server interno all'IP pubblico?
Perché se viene NATtata solo la 80, non mi meraviglio che l'HTTPS non 
funzioni ;-)
Massimo

 santo votarmi.
 
Anche secondo me potrebbe funzionare con il proxy.
 
Grazie dei consigli.


 necessario approfondire il meccanismo.
 
Il server in questione è mio, la pagina sempre la stessa. Il problema del
blocco lato server non esiste.
Come hai detto all'inizio su pagine https senza autenticazione funziona ma
quando apache deve fare l'autetnticazione (Basic auth) non funziona più.
Che il NAT del modem ADSL funzioni ho qualche dubbio perchè collegandomi con
il modem analogico il problema non sussiste.
 
Ciao


 genere.
 
Puoi spiegarti meglio?
Il server web in questione è apache e l'autenticazione è "Basic auth", non
credo che faccia redirect altrimenti non funzionerebbe neanche con il modem
analogico, come ho spiegato in altri post.
 
Ciao


 funzioni ;-)
 
Non ho controllo sul NAT interno verso l'esterno, credo faccia passare le
connessioni "ESTABLISHED, RELATED" per intenderci.
L'https funziona.


 L'https funziona.
Sempre più contorto.
Dubbio: per caso la basic auth ha un qualche modo (contorto, per
carita) per castrare gli IP privati nell'htacess, desumendoli, chessò
dallo USER AGENT?
cioè hai un normale .htaccess o magari nell'httpd.conf hanno fatto
magheggi?
Secondo me è un problema lato server...
Il NAT uscente, come lo fai fai non ha modo di alterare alcunchè:
controlla assolutamente la versione di apache, ho trovato questo
Bug 2362: Version 1.6: https and basic authentication do not work
ma non ci giurerei.
Prova da un'altra ADSL nattata, o un proxy aziendale se puoi.
Guarda inoltre i log di accesso e di errore di Apache... possono dirti
molto.

 connessioni "ESTABLISHED, RELATED" per intenderci.
Forse non mi sono spiegato :-)
Perlavo, ovviamente, del NAT dall'esterno all'interno. Ad esempio, per 
capirci: da 
1.2.3.4:80
 (IP pubblico) a 
192.168.1.2:80
 (IP privato); i port 
forwarding che configuri sul modem/router, insomma. Se tu hai configuratio 
il modem per redirigere la porta 80 dell'Ip pubblico sulla porta 80 dell'Ip 
privato, ma *non* per fare la stessa cosa con la porta 443, l'HTTPS non 
funzionerà mai.
Massimo

 Forse non mi sono spiegato :-)
o più probabilmente non hai capito (o almeno lo spero).
i client sono nella lan mascherata dal nat mentre il server sta su
internet, non viceversa. il port forwarding non serve ad una cippa
(anzi).

 analogico, come ho spiegato in altri post.
se è una autenticazione basic la mia osservazione non vale,
l'autenticazione basic avviene con un semplice "scambio" di header
delle request e response sulle pagine protette.
non so che dire, ma tu hai controllo su questo server web?


Massimo,
quoto rootkit, in quanto Dante parlava del NAT del router lato client.
Se con un modem analogico con ip pubblico gli funziona, quello che
dici tu
non è vero.
Il server
a) potrebbe stare dietro NAT, come dici tu, ma non c'entra col
problema
b) potrebbe essere un frontend su una DMZ con ip pubblici
c) potrebbe essere attaccato direttamente su internet, e che Dio lo
protegga...
ma non penso che questo sia il dettaglio voluto. Insisto a dire che è
un problema di misconfigurazione del server, tanto e vero che con la
connessione analogica lo raggiunge pure.

 non so che dire, ma tu hai controllo su questo server web?
 
Certo che si, il server è di mia proprietà. Il server web l'ho configurato
personalmente.
Comunque, se fosse un problema del server per quale motivo con una connessione
mediante modem analogico funziona?


 molto.
 
Magari scrivessero qualcosa di preoccupante :) E' la prima cosa che ho fatto,
log standard e quelli ssl. La massima stranezza nei log la puoi trovare nei
log ssl (...[info] connection closed with unclean shutdown).
 
Questo mistero deve essere risolto :)
Mi sta venendo anche un'altro dubbio che il problema potrebbe essere proprio
l'ADSL che ho configurato al volo anche se mi sembra strano.
 
Ciao


 connessione analogica lo raggiunge pure.
 
Se il server, intendo apache, non fosse configurato correttamente non
funzionerebbe nanche con il modem analogico.


 privato al quale risponde apache https, con firewall)
Fammi capire un attimo.
Quante schede di rete ha il server?
Una connessa ad un firewall con IP pubblico ed un'altra connessa ad un altro 
firewall (che fa NAT) con IP privato?
Oppure ne ha una sola, e quando parli di firewall e NAT ti riferisci a 
qualcosa di attivo sulla stessa macchina?
Massimo

(anzi).
Ah.
Ok, avevo capito tutto il contrario, scusa.
Massimo

 l'ADSL che ho configurato al volo anche se mi sembra strano.
scusa gli altri siti in HTTPS li vedi? se sì il problema non è l'ADSL

 scusa gli altri siti in HTTPS li vedi? se sì il problema non è l'ADSL
http://www.garayed.com/apache-configurations/7725-internet-explorer-not-encrypting-session.html
prova con Firefox... se funge, metti la direttiva
<Directory [your-directory]>
SSLRequireSSL
</Directory>
direttamente nell'httpd.conf...
Forse funge.

 qualcosa di attivo sulla stessa macchina?
 
la seconda che hai detto.


 password.
Rispondo a me stesso per rispondere a tutti.
 
Forse ho risolto il problema ma se vi dico quale era rischio il linciaggio.
Faccio altre due prove e vi aggiorno.


 prova con Firefox... se funge, metti la direttiva
 
non funziona il link, comunque ho controllato httpd.conf č a posto
 
Per risponde all'altro tuo post.
Utilizzare tcpdump č un suicidio su un server in produzione, se posso evito.
Installare apache 2 idem come sopra.
Comunque non ne ho piů avuto bisogno, leggi il post di conclusione.


 la seconda che hai detto.
Quindi tu hai una macchina con un IP pubblico e uno privato 
*contemporaneamente*, e che fa un NAT *su se stessa*?
Cavolo, non mi meraviglio affatto che dia problemi...
Massimo

 Faccio altre due prove e vi aggiorno.
 
Come da mio ultimo sospetto il problema era l'ADSL.
Ci siamo imbattuti in discorsi complicati quando la soluzione era semplice.
 
1) il server era ok
2) il nat server era ok
3) l'https ssl apache era ok
4) il nat del modem della lan per i client era ok
 
Lo dicevo, se funziona con il modem analogico deve funzionare anche con
l'adsl.
 
Abbiate pazienza, devo premettere una cosa.
Le configurazioni per il modem ADSL le ho dovuto cercare su internet perchè
l'assistenza del provider fa abbastanza schifo, non sono riuscito a parlare
con un tecnico, solo commerciali che ovviamento mi hanno dato le
configurazioni sbagliate.
 
Ecco quale era il problema.
l'Encapsulation della connessione ADSL doveva essere PPPoE e non PPPoA come mi
avevano detto e come avevo letto.
 
Bastava configurare il modem in bridge e fare la connessione PPP dal computer
per scoprire il problema, come ho fatto. Facile no?
Le assistenze dei grossi provider italiani che invece dei tecnici ti passano i
commerciali io le prenderei tutte a randellate!
 
Adesso potete anche insultarmi per avervi fatto entrare in un discorso che
c'entrava poco con il problema effettivo.
 
Comunque è strano che se hai la linea configurata con PPP over Ethernet e
utilizzi PPP over ATM qualche sito lo vedi e altri no.
Per come la vedo io se sbagli incapsulamento non dovrebbe funzionare proprio.
Ma io non sono un sistemista, magari è normale, ditemi voi. Di solito io gioco
a fare il programmatore.
 
Grazie a tutti della pazienza e dei consigli che mi avete dato per tentare di
risolvere il problema.
 
Ciao


 Cavolo, non mi meraviglio affatto che dia problemi...
 
Con linux questo e altro ;-)
 
Ciao


 proprio.
E non hai mica tutti i torti, eh...
Massimo

 passano i commerciali io le prenderei tutte a randellate!
E' per quello che sono tornato a Telecom e tendo a consigliare Telecom.
Visto e considerato che, salvo qualche sporadico caso, la rete è
Telecom e il tecnico che ti arriva per l'attivazione è Telecom,
indipendentemente dal provider con cui hai a che fare, allora io voglio
avere a che fare con Telecom; quasi tutti gli altri ti rispondono
tramite call center e con risposte preimpostate; se provi a fargli
qualche domanda che va fuori dagli schemi predefiniti, ti cascano le
braccia perché ti rendi conto che non sanno nemmeno di cosa si stia
parlando (ho osato parlare di NAT, una volta), e il massimo che possono
fare è passare il problema (indovina a chi?) a Telecom.
Finora, almeno, le rare volte in cui ho avuto a che fare con Telecom,
la controparte sapeva quasi sempre di cosa si stia parlando;
addirittura, una volta, il tecnico ha cercato di spiegarmi in modo
semplice cos'era una NAT!
-- 
Ciao!
Luca

 a fare il programmatore.
Non è normale, ti ripeto. Però mi fa piacere che ci sei riuscito... e
senza sniffing!!!
Complimenti per il troubleshooting.

 Complimenti per il troubleshooting.
 
Grazie, comunque qualche problemino ancora me lo dà, si disconnette troppo
facilmente con PPPoE. Secondo me il problema è tutto loro, parlerò con un
tecnico prima o poi...


 indifferente l'incapsulamento che tu scegli.
 
In questo caso mi sembra ragionevole che "funzioni" sia con PPPoA che con
PPPoE.
