IIS7 - Server di sviluppo protezione password

Question

Ho un server di sviluppo che esegue IIS 7.0 con un'applicazione Web MVC ASP.NET, che esegue l'autenticazione utilizzando l'autenticazione/appartenenza moduli.

Devo essere in grado di impedire agli utenti non autorizzati di visualizzare questo sito. I nostri clienti dovrebbero tuttavia essere in grado di inserire un semplice nome utente/password per accedere.

Dopo aver eseguito questa operazione, dovrebbero essere in grado di interagire con l'applicazione Web utilizzando l'Autenticazione moduli come se fossero appena arrivati ​​a un sito non protetto.

Qualche suggerimento?

Answer 1

Abbiamo scritto un modulo personalizzato per IIS per consentire determinati intervalli IP attraverso automaticamente e presentare a chiunque altro un dialogo di accesso. Una volta effettuato l'accesso, memorizzava tale fatto nella loro sessione e passava semplicemente le richieste.

Funziona bene, può essere applicato a qualsiasi cosa in siti o servizi IIS.

Answer 2

La mia risposta precedente diceva che i moduli auth e http auth potrebbero vivere fianco a fianco in modalità integrata II7. Ero completamente sbagliato e da allora ho fatto una soluzione semplice.

Utilizzando un personalizzato HttpModule è possibile aggiungere autenticazione di base lungo il lato regolare le forme di autenticazione

public class CustomBasicAuthHttpModule : IHttpModule 
{ 
    private HttpApplication httpApplicationContext; 

    public void Dispose() 
    { 
    } 

    public void Init(HttpApplication context) 
    { 
     this.httpApplicationContext = context; 
     context.BeginRequest += this.OnBeginRequest; 
     context.EndRequest += this.OnEndRequest; 
    } 

    private void OnBeginRequest(object sender, EventArgs e) 
    { 
     // your logic of checking Auth header goes here 
     if (this.httpApplicationContext.Request.Headers["Authorization"] != "Basic base64-encoded-user:pass") 
     { 
      this.httpApplicationContext.Response.StatusCode = 401; 
      this.httpApplicationContext.Response.End(); 
     } 
    } 

    private void OnEndRequest(object sender, EventArgs e) 
    { 
     if (this.httpApplicationContext.Response.StatusCode == 401) 
     { 
      this.httpApplicationContext.Response.AddHeader("WWW-Authenticate", "Basic"); 
     } 
    } 

poi nel web.config

<system.webServer> 
    <modules> 
     <add name="CustomBasicAuthHttpModule" type="Namespace.CustomBasicAuthHttpModule, AssemblyName"/> 
    </modules> 
    </system.webServer> 

Answer 3

ho appena fatto questo con Helicon Ape. La licenza gratuita include 3 siti, che per me sono stati abbastanza buoni.

Se si utilizza questo sito su un sito, è sufficiente ricordare di verificare se la licenza è attivata per il sito (menu di avvio> helicon> ape> manager, help, gestore di licenze).

Answer 4

Come sottolinea Aaron, questo non è così semplice in IIS7. Ora, il rovescio della medaglia è che questo vecchio trucco è al sicuro insicuro e ci sono modi migliori per farlo ora e l'essere in grado di utilizzare tutti i metodi authenticaiton con tutte le app ha molti vantaggi. Ci sono alcuni modi per aggirare questo come:

a) mantenere il sito di sviluppo dietro una VPN a cui i vostri clienti possono accedere.
b) reindirizzare il sito e consentire al proxy di eseguire l'autenticazione http.
c) Un po 'più impegnato sarebbe quello di costruire la tua app con una modalità demo. Trucco qui è di farlo accendere o spegnere dalla prima richiesta data una speciale stringa di query magica. Verifica ciò in Session_Start() quindi contrassegna gli utenti che vengono con esso e guadagna.