Nieuws:

Welkom, Gast. Alsjeblieft inloggen of registreren.
Heb je de activerings-mail niet ontvangen?

Auteur Topic: Beveiligen directories van webserver Apache2  (gelezen 1884 keer)

Offline qwyrp

  • Lid
  • Steunpunt: Nee
Beveiligen directories van webserver Apache2
« Gepost op: 2011/11/19, 20:29:09 »
Ik heb een apache webserver draaien waarbij de standaard root-directory verwijst naar /var/www en daar staan wat directories met webpagina's. De 80-poort is geforward m.a.w. alles wat daar staat is ook beschikbaar voor iedereen op het internet.

Nu wil ik echter van de ca 40 directories maar 3 open hebben voor iedereen en de rest beveiligd dmv bv een wachtwoord icm .htaccess
Hoe kan ik dat het meest handig aanpakken?


Ubuntu Server 14.04.1 - 64 @ I3-2300

Offline ivo

  • Lid
  • Steunpunt: Nee
There are only 10 types of people in the world; those who understand binary and those who don't.

Offline Buzzin

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #2 Gepost op: 2011/11/19, 23:22:30 »
Je hoeft niet te werken met .htaccess file als je de configuratie doet in je apache config files....voordeel daarvan is dat als je een keertje het bestand wist of vergeet er niet ineens allerlei mensen bij kunnen.

Football: A battle between two teams of mindless thugs over scraps of coloured cloth. Usually accompanied by the spectacle of 22 overpaid primadonnas kicking a ball on a field.
DebianDevuan, KDE & OperaVivaldi addict, RedHat Engineer

Offline qwyrp

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #3 Gepost op: 2011/11/20, 00:05:01 »
Oke maar kan je ms wat uitleggen hoe want dit zegt me tot niet zoveel
Ubuntu Server 14.04.1 - 64 @ I3-2300

Offline Johan van Dijk

  • Administrator
    • johanvandijk
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #4 Gepost op: 2011/11/20, 00:29:48 »
Geef dan eens een concreet voorbeeld van welke mappen je hebt en welke je dicht wil zetten.
Hierboven linkt iemand al naar een uitleg, als er iets daarvan niet duidelijk is, is het ook wel handig om te vertellen wat je dan nog niet begrijpt.

De configuratie in apache werkt op een vergelijkbare manier.

Offline qwyrp

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #5 Gepost op: 2011/11/20, 12:24:51 »
Mmmm oke schijnbaar ben ik niet duidelijk.

Dit wil ik graag
/var/www/dir1
/var/www/dir2
/var/www/dir3
/var/www/dir4
..
/var/www/dir40

Waarbij ik graag dir1 t/m dir3 openbaar wil hebben en dir4 t/m dir40 niet openbaar en bv afgeschermd dmv een wachtwoord.
Zou dit een handige manier kunnen zijn:
/var/www/dir1
/var/www/dir2
/var/www/dir3
/var/www/afgeschermd/dir4
/var/www/afgeschermd/...
/var/www/afgeschermd/dir40
en dan een .htacces in afgeschermd-dir zetten?
Alleen als je dan rechtsreeks naar /var/www/afgeschermd/dir40 gaat omzeil je de afscherming toch weer?


Ubuntu Server 14.04.1 - 64 @ I3-2300

Offline Buzzin

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #6 Gepost op: 2011/11/20, 12:25:22 »
Simpel voorbeeldje:

De url www.mijnsite.nl/blabla moet beveiligd zijn met een wachtwoord en mag alleen worden gebruikt door mensen uit de groep Gebruikers.
Dit zet je dan in je configuratie van de virtualhost (ik denk de standaard bij jou -> /etc/apache2/sites-available/default)
       <Location /blabla>
                AuthType Basic
                AuthName "mijnsite.nl"
                AuthBasicProvider file
                AuthUserFile /etc/apache2/.htpasswd
                AuthGroupFile /etc/apache2/.htgroups
                Require group Gebruikers
        </Location>

Een .htgroups file kun je gewoon met vim aanmaken en ziet er zo uit:
Gebruikers: gebruiker1 gebruiker2

Een .htpasswd bestand kun je aanmaken door het commando htpasswd te gebruiken

Je hoeft geen groep te gebruiken, maar maakt het wel makkelijker.
Je kunt per locatie opgeven wie er bij mag. (makkelijk te doen met groepen zonder dat je meerdere gebruikers per persoon hoeft aan te maken)

De reden waarom mijn password en group files buiten /var/www staan is simpel: zo kunnen ze ook niet perongeluk beschikbaar zijn via je webserver....dit geldt altijd, dus ook als je met .htaccess files werkt.

Je hoeft niet eens een aparte map 'afgeschermt' te maken.
Zoals ik het omschreef kom je er gewoon niet bij, ook niet als je de correcte URL weet van de onderliggende mappen....

Ow, en bedenk je wel dat je wachtwoord onversleuteld over internet gaat als je geen HTTPS gebruikt!
« Laatst bewerkt op: 2011/11/20, 12:28:22 door Buzzin »
Football: A battle between two teams of mindless thugs over scraps of coloured cloth. Usually accompanied by the spectacle of 22 overpaid primadonnas kicking a ball on a field.
DebianDevuan, KDE & OperaVivaldi addict, RedHat Engineer

Offline qwyrp

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #7 Gepost op: 2011/11/20, 12:39:58 »
Oke er komt ligt in de tunnel voor mij  XD.

Je geeft aan dat er geen speciale afgeschermd-map hoeft te komen maar dat moet toch wel want daar zet ik de beveiliging op en de rest is gewoon openbaar?
/var/www/dir1   --> openbaar
/var/www/dir2   --> openbaar
/var/www/dir3   --> openbaar

Beveiliging map afgeschermd dmv apache config-file zoals in de vorige post aangegeven
/var/www/afgeschermd/dir4 --> beveiligd
/var/www/afgeschermd/...  --> beveiligd
/var/www/afgeschermd/dir40 --> beveiligd

Ik zit me net te bedenken: je bedoeld ws voor elke beveiligde map afzonderlijk dit te doen !!! :rolleyes:
« Laatst bewerkt op: 2011/11/20, 12:46:07 door qwyrp »
Ubuntu Server 14.04.1 - 64 @ I3-2300

Offline qwyrp

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #8 Gepost op: 2011/11/20, 13:43:05 »
Snap het nu helemaal en werkt prima. Vroeg me alleen af of dit ook werkt voor Symbolic Links want dat probeer ik net alleen dat werkt (nog) niet

Heb een symbolic link gemaakt naar de beschermde dir en die symbolic link wil ik dan weer afschermen dmv apache config file

Laat maar ik had niet geupdate nu doet alles het prima @BUZZIN e.a. heel erg bedankt !!
« Laatst bewerkt op: 2011/11/20, 14:00:36 door qwyrp »
Ubuntu Server 14.04.1 - 64 @ I3-2300

Offline Buzzin

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #9 Gepost op: 2011/11/20, 17:46:28 »
No problem, mooi dat het werkt.
Football: A battle between two teams of mindless thugs over scraps of coloured cloth. Usually accompanied by the spectacle of 22 overpaid primadonnas kicking a ball on a field.
DebianDevuan, KDE & OperaVivaldi addict, RedHat Engineer

Offline qwyrp

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #10 Gepost op: 2011/12/03, 16:18:50 »
Ow, en bedenk je wel dat je wachtwoord onversleuteld over internet gaat als je geen HTTPS gebruikt!

Herlees net ff het berichtje en schrik hier weer ff van ....  maar ik zie het nu als nieuwe uitdaging maarre hoe doe ik dat precies?

Ik heb certificaten en een /var/www-ssl/html dir aangemaakt en alles werkt. Krijg een melding van een secure uitzondering maar dat gaat goed. Wat moet ik precies waar zetten om mijn wachtwoorden etc beveiligd te versturen
« Laatst bewerkt op: 2011/12/03, 16:37:53 door qwyrp »
Ubuntu Server 14.04.1 - 64 @ I3-2300

Offline Buzzin

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #11 Gepost op: 2011/12/04, 00:15:36 »
Als de verbinding over ssl gaat (dus https) dan is het al versleuteld....
Football: A battle between two teams of mindless thugs over scraps of coloured cloth. Usually accompanied by the spectacle of 22 overpaid primadonnas kicking a ball on a field.
DebianDevuan, KDE & OperaVivaldi addict, RedHat Engineer

Offline qwyrp

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #12 Gepost op: 2011/12/04, 00:39:19 »
Ik heb nu wel zo'n beveiligde directory die is alleen extra aangemaakt en een testje met een ander bestand werkt.
Maar alles staat nog in de onbeveiligde directory en werkt dus nog op de oude en dus onveilige manier.
Is het gewoon een kwestie van alle directory's verplaatsen naar de SSL-dir
en dan checken als er om een ww gevraagd wordt of er https staat?
Ubuntu Server 14.04.1 - 64 @ I3-2300

Offline qwyrp

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #13 Gepost op: 2011/12/04, 12:15:38 »
Ik heb in mijn https nu een dir aangemaakt met de verwijzing naar .htpassword en .htgroup
Ik moet daar nu ook een naam+ww intypen en bovenin staat https.
1. Betekent dit nu dat naam en ww niet meer onbeveiligd wordt verstuurd?
2. Is het nu handiger om ALLE websites daaronder te hangen dus ook degene die gewoon openbaar zijn. Of is een scheiding op http of https wenselijk?
3. Meestal zit ik binnen mijn thuisnetwerkje ook op de server en moet daardoor veelvuldig het ww intypen. Kan ik de beveiliging ook uitzetten bij lokale benaderingen?
Ubuntu Server 14.04.1 - 64 @ I3-2300

Offline Buzzin

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #14 Gepost op: 2011/12/04, 21:14:39 »
Ik heb in mijn https nu een dir aangemaakt met de verwijzing naar .htpassword en .htgroup
Ik moet daar nu ook een naam+ww intypen en bovenin staat https.
1. Betekent dit nu dat naam en ww niet meer onbeveiligd wordt verstuurd?
Yep, gewoon zo laten
Citaat
2. Is het nu handiger om ALLE websites daaronder te hangen dus ook degene die gewoon openbaar zijn. Of is een scheiding op http of https wenselijk?
Een scheiding is handig, vooral omdat een selfsigned certificaat altijd waarschuwingen oplevert in een browser.....en iemand van buitenaf zal niet zo maar op accepteren drukken (mag ik hopen)
Citaat
3. Meestal zit ik binnen mijn thuisnetwerkje ook op de server en moet daardoor veelvuldig het ww intypen. Kan ik de beveiliging ook uitzetten bij lokale benaderingen?

Eh ja, al weet ik niet zo 1 2 3 uit m'n hoofd hoe.
Football: A battle between two teams of mindless thugs over scraps of coloured cloth. Usually accompanied by the spectacle of 22 overpaid primadonnas kicking a ball on a field.
DebianDevuan, KDE & OperaVivaldi addict, RedHat Engineer

Offline qwyrp

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #15 Gepost op: 2011/12/04, 21:29:08 »
Oke bedankt voor de duidelijkheid. Ga nog ff kijken hoe ik naam+ww in een lokaal netwerk kan uitschakelen.

Krijg alleen van buitenaf (https://xxx.homeip.com) geen toegang. Is dat ms nog iets van een instelling?
Ubuntu Server 14.04.1 - 64 @ I3-2300

Offline Buzzin

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #16 Gepost op: 2011/12/04, 22:13:02 »
Je moet wel even poort 443 in je router/modem ook doorsturen naar de server :) (net als je met poort 80 hebt gedaan)
https = poort 443
Football: A battle between two teams of mindless thugs over scraps of coloured cloth. Usually accompanied by the spectacle of 22 overpaid primadonnas kicking a ball on a field.
DebianDevuan, KDE & OperaVivaldi addict, RedHat Engineer

Offline qwyrp

  • Lid
  • Steunpunt: Nee
Re: Beveiligen directories van webserver Apache2
« Reactie #17 Gepost op: 2011/12/04, 22:13:51 »
Aha bedankt nu doet die het ..... niet bij nagedacht  :rolleyes:
Ubuntu Server 14.04.1 - 64 @ I3-2300