Wo sollte die Beschränkung der IP-Adresse gehandhabt werden?

Question

Wir führen einen Reverse-Proxy vor unserer Anwendungsebene und ich frage mich, wo der "Best Practice" Platz für die Handhabung der IP-Beschränkung ist.

Derzeit verwenden wir die Anwendungssicherheit, um den Zugriff auf bestimmte Ressourcen über die IP-Adresse zu beschränken. Dies hat jedoch einige Probleme verursacht, als wir zur Ausführung hinter einem Reverse-Proxy übergingen. Es ist ziemlich einfach, die Regeln für Zulassen/Verweigern auf dem Proxy anstelle der Anwendung zu konfigurieren, aber da wir mehrere Anwendungen hinter dem Proxy ausführen, können Änderungen an der Konfiguration Auswirkungen auf andere Anwendungen haben (keine große Gefahr, aber immer noch vorhanden) .

Ist es besser, den Filter weiter oben in der Kette oder näher an der Anwendung zu betreiben?

Gibt es irgendwelche Probleme, wie wir bei der Anwendungsbeschränkung aufgetreten sind und einen Reverse-Proxy hinzufügen, wo alle Anfragen "kommen" von dem Proxy, zwingen uns, eine Kopfzeile zu verwenden, um die "echte" IP-Adresse zu finden.

Answer 1

Wir filtern so früh wie möglich und halten es von der Anwendung fern; diese Art von Dingen wird besser durch Netzwerkoperationen verwaltet. Der Grund dafür ist, dass App-Entwickler oder Betreuer nicht immer in der Schleife sind, wenn sie IP-Adressen ändern und die Netzwerk-Ops normalerweise die Ersten sind, die das wissen. Auch Tools vom Netzwerktyp sind in der Regel besser in der Lage, den Zugriff auf Software-Tools zu beschränken.

Answer 2

Ich würde niemals per IP-Adresse einschränken. Einschränkungen wie diese sind die Aufgabe einer Sicherheitsschicht, nicht der Netzwerkebene, in der IP-Adressen leben. Ich finde es selten nützlich, wenn eine Anwendung die Implementierung des Netzwerks einschränkt.

Answer 3

Ich schränke die IP-Adressen so früh wie möglich ein - dies beseitigt unnötigen Verkehr in den folgenden Schichten oder Subnetzwerken. Also mein Ratschlag ist ähnlich wie bei u07ch's so früh wie möglich.

Answer 4

Dies hängt von der Art der Ressourcen ab, die durch IP eingeschränkt werden müssen. Wenn Teile der Anwendung per IP eingeschränkt werden müssen, sollte die Anwendung damit umgehen. Wenn die gesamte Anwendung blockiert werden muss, sollten Sie weiter oben in der Kette sein.

Die allgemeine Regel besteht darin, so früh wie möglich einzuschränken, ohne dabei die vorhandenen Prüfsysteme zu kompromittieren (es ist fast immer eine gute Idee zu wissen, wenn Menschen versuchen, Ihr Sicherheitssystem zu durchbrechen).