[Frage] Zugriff per .htaccess regulieren

[SF1975]

Hallo,
Ich habe zu Hause einen Raspberry PI, der auch einige Homepages (zum Test) und SensorAndSwitch beinhaltet. Jetzt möchte ich folgendes machen:

Per Portweiterleitung den Port 80 auf den Raspberry umleiten, um auf die Seiten zugreifen zu können.
FBF leitet Port 80 auf das "Rootverzeichnis" des Webservers!
Allerdings sollen nur Zugriffe von 2 festen externen IPs möglich sein, sowie aus meinem Heimnetz (192.168.179.xxx). Alle anderen sollen geblockt werden, bzw eine Fehlermeldung erhalten.

Wie muss eine solche Datei angelegt sein?

Vielen Dank für die Mühen

 

[koyaanisqatsi]

Die Möglichkeiten einer .htaccess sind vielfältig.
Dafür am Besten mal die Doku auf selfhtml.org durchschmökern.
...und eventuell deine Lösung hier posten.

Beispiel für eine lokale Beschränkung im Standardfritzboxnetz...
.htaccess

Order deny,allow
Deny from all
Allow from 192.168.178

 

[SF1975]

Scheint zu klappen

Hallo,
Scheint zu klappen. Ich habe die Datei einmal ins Rootverzeichnis gelegt.
Mit

Order deny,allow 
Deny from all 
Allow from 192.168.178
Allow from aaa.bbb.ccc.ddd

Komme ich vom Büro aus auf http://hier-könnte-eine-Adresse-stehen.de/sensorandswitch/sensorandswitch.php,
lasse ich "Allow from aaa.bbb.ccc.ddd" weg, ist es gesperrt. Wegen einer Umleitung/Fehlerseite schaue ich mal weiter.
Thx. So kann ich die Portweiterleitung erst einmal bestehen lassen, kommt ja so erst einmal keiner rein.

 

[koyaanisqatsi]

Hast du auch an IPv6 gedacht?
Oder gibt es nur die IPv4?
Wasserdicht ist es erst nach einem allumfassenden Test.

 

[SF1975]

Hallo,
IPv6 kann ich hier nicht testen. aber ein guter Gedanke.

Wobei das "Deny from all" das ja eigentlich unterbinden müsste, oder liege ich da so falsch?

 

[koyaanisqatsi]

Hm, ob Deny sich auf Beide bezieht?
Gute Frage.

...gehen wir mal davon aus, logisch ist es jedenfalls.
Vermutlich wird einfach auf ein Übereinstimmen geprüft.
...und bei Nichtübereinstimmung: Du kommst hier net rin :lamer:

 

[SF1975]

Hallo,
Ich hoffe, dass ich nächste Woche dazu komme, das einmal irgendwie zu testen.

 

[rentier-s]

IPv6 kann man in .htaccess genau so verwenden, siehe hier.

Wenn nur IPv4 Adressen mittels Allow erlaubt sind, wird IPv6 durch Deny from all komplett gesperrt.

 

[SF1975]

Hallo,
Thx . Gibt ene gewisse Sicherheit
So kann man zumindest die Portweiterleitung offen lassen, da ja keiner ausser (unserer gesamten Firma) auf den Raspberry kommt :hehe:

 

[koyaanisqatsi]

Moins

Ich schrieb ja schon: Die Möglichkeiten sind vielfältig

Das gefällt mir....

SetEnvIf User-Agent ^KnockKnock/2\.0 let_me_in 
<Directory /docroot>     
Order Deny,Allow     
Deny from all     
Allow from env=let_me_in 
</Directory>

...nur mit passenden User-Agent kommt man rein.

@rentier-s: Danke für den Link und die Info

 

[eisbaerin]

Du könntest auch bei der Portweiterleitung in der FB Einschränkungen machen.
ar7.cfg:

ipv4forwardrules =
"tcp 0.0.0.0:80 192.168.178.20:80 0 # HTTP-Server";

Dazu das rote ändern.

 

[SF1975]

Hallo,
@Koy:
Kannst Du mir das ein wenig erklären? :doof:

 

[koyaanisqatsi]

Vergiss es, denn auf dem Pi geht das so leider nicht.
Habs ausprobiert.

1. <Directory /docroot> ist in der .htaccess nicht erlaubt.
2. SetEnvIf obwohl als mod erlaubt erzeugt internen Serverfehler

Aber witzig fände ich es schon wenn man nur mit einem modifizierten User-Agent reinkommt, alá...
HTTP_USER_AGENT: Godzilla/2.0 (Windows NT 5.1; rv:33.0) Gecko/20100101 Firefox/33.0

 

[PeterPawn]

Das Verhalten des Apache2-HTTP-Servers beim Verarbeiten einer .htaccess-Datei (auch dieser Name ließe sich ändern, es geht ja eigentlich um ein Konfigurations-File für ein einzelnes (bzw. ab einem einzelnen) Verzeichnis) ist absolut vom Inhalt der "AllowOverride"-Direktive in der httpd.conf abhängig. Wenn also irgendwo eine .htaccess-Datei ignoriert wird (auch teilweise), dann sollte man zuerst immer in der Server-Konfiguration mit der Suche beginnen.

Gerade auf einer FRITZ!Box und dem DocumentRoot auf einen USB-Datenträger bzw. im NAND-Flash (das ist beides gähnend langsam) sollte man die mit dem Einsatz von .htaccess-Files verbundenen Performance-Nachteile aber berücksichtigen, falls Performance generell ein Thema ist und der Webserver nicht nur alle 5 Sekunden einen Request verarbeiten muß.