Seitenaufruf IP-bedingt umleiten

[TomcatNewbee]

Hallo zusammen,

ich weiß das hört sich jetzt komisch an, aber ich möchte die Seite mit dem Adminlogin auf meinem Tomcat sichern.

Jeder soll bei Aufruf der Seite direkt auf einen anderen Content weitergeleitet werden, außer der Aufruf kommt von einer bestimmten IP.

Ich habe keinen Zugriff auf den Content (es ist eine Webapplication - kein OpenSource). Ich habe jedoch vollen Zugriff auf dem Webserver und das Hostbetriebssystem. Die angesprochene Adminlogin-Page ist die der Applikation.

Ich möchte einfach nicht, dass diese aus dem gesamten Internet verfügbar ist. Unser Firmennetz hat eine statische IP. Diese würde ich gerne als einziges auf die Seite zugreifen lassen.

Gruß

Philipp

[Christian Marquardt]

http://tomcat.apache.org/tomcat-6.0-...r/Introduction

[TomcatNewbee]

Hallo Christian,

danke für den Link.
Ich habe mir das Thema ein bisschen durchgelesen. Das Ganze scheint jedoch leider ja nur IPs auf Block oder Allow setzen.
Außerdem sieht es doch so aus, als könnte ich das nicht in der server.xml oder web.xml einsetzen.

Werde das Thema mangels Erfahrung mit Tomcat daher wohl einstellen.
Trotzdem danke für deine Hilfe!

Gruß Philipp

[Christian Marquardt]

. Das Ganze scheint jedoch leider ja nur IPs auf Block oder Allow setzen

Das wolltest du doch

...außer der Aufruf kommt von einer bestimmten IP.

Außerdem sieht es doch so aus, als könnte ich das nicht in der server.xml oder web.xml einsetzen.

Da gehört das hin

[TomcatNewbee]

Hallo Christian,

in welche der beiden XMLs muss ich es einfügen?

Ich möchte lediglich einen bestimmten Aufruf nur für localhost oder unsere Firmenip zulassen. Die anderen Zugriffe sollen für alle zugelassen sein.

Habe folgendes gefunden:

<Valve className="org.apache.catalina.valves.RemoteAddrVa lve" deny="127.*"/>

Das würde jedoch ja nur alle Anfragen (auf den gesamten Webserver) von localhost verbieten. Eine Url kann ich ja leider keine angeben. (zumindest finde ich das nirgendwo)

Gruß Philipp

[Christian Marquardt]

Lt. deinem ersten Posting soll nur eine bestimmte IP das Recht haben, die Anwendung aufzurufen. Das ist mit allow=IP möglich. Alle anderen werden geblockt.

[TomcatNewbee]

Wenn ich meinen Post so nochmal lese, kann man das so verstehen. Du hast recht.

Problem ist nur:

url.de/app/main?fn=login soll nur von lokal/unsere IP aus möglich sein
url.de/app/main?fn=sonstiges soll für alle möglich sein

Mit der internen Lösung von Tomcat kann ich jedoch nur den gesamten Zugriff bzw. den Zugriff auf "app" so beschränken. Nicht auf einen einzelnen Aufruf (URL) wie z.B. url.de/app/main?fn=login

Das ist was ich meinte.

Sry, dass du von falschen Voraussetzungen ausgegangen bist.

[Christian Marquardt]

Hmm, dafür fällt jetzt auch nix ein

[TomcatNewbee]

Ok, danke dir trotzdem für deine Mühe und Zeit!

[ngomo]

Valve ist eine Möglichkeit

Hallo TomcatNewbee,

Habe folgendes gefunden:
<Valve className="org.apache.catalina.valves.RemoteAddrVa lve" deny="127.*"/>

Da bist Du schon auf der richtigen Fährte. Mit einem Valve ließe sich deine Anforderung umsetzen. Allerdings mit den von Tomcat mitgelieferten Valves geht es nicht. Du musst Dir selbst einen schreiben. Ist aber garnicht so schwer. Hier ein Link dazu, wie es geht: http://www.jsptutorial.org/content/filter

Aber Vorsicht: Wenn bspw. Proxies im Spiel sind, sieht man im Tomcat oft garnicht die IP, von der ein request ursprünglich kommt, sondern die IP eines Proxies. Dann würdest Du Deinen Adminnutzer aussperren.

Gruß ngomo

[TomcatNewbee]

Hallo Ngomo,

danke für den Hinweis. Ich werde es ausprobieren.
Die Admins dürfen sich aus dem Firmennetz per RDP auf den Server aufwählen (andere Quellen sind geblockt). Wenn sie auf dem Server dann den Firefox öffnen und die Adminoberfläche aufrufen, haben sie ja keinen Proxy zwischen sich und dem Webserver.

Gruß Philipp

[TomcatNewbee]

Ich habs versucht, jedoch nicht hinbekommen. Denke ich werde es lassen. Sicherheit wird eh total überbewertet :P

Ne Spaß,

ich habe den Adminlogin der Webapplikation zwar nicht auf die hier gesuchte Art verbergen / sperren können, aber ich hab einfach eingestellt, dass der Adminlogin nach 3 falschen Eingaben ganz gesperrt wird. Um diesen wieder frei zu machen, muss man einen Flag in der (MS SQL) Datenbank entfernen. Dann hat man wieder drei Versuche.
Zugriff auf die DB habe ich über den Server immer.

Danke trotzdem an Euch für die Unterstützung!