मेरे पास हमारे उत्पादन वेब सर्वर पर कुछ वेब विधियों के साथ एक वेब सेवा (एएसएमएक्स) है। एक अलग आंतरिक वेब सर्वर पर (जिसे सार्वजनिक रूप से उजागर नहीं किया गया है) मेरे पास एक और वेबसाइट है जो एएसएमएक्स की सार्वजनिक वेब विधियों का उपयोग करेगी। वेब सेवा को सुरक्षित करने के कुछ बेहतरीन तरीके क्या हैं, जैसे आंतरिक वेब सर्वर सार्वजनिक रूप से उजागर किए गए वेब सर्वर पर चल रही वेब सेवाओं तक पहुंच सकता है?एक वेब सेवा सुरक्षित करना
संदेश के साबुन शीर्षलेख में प्रमाण पत्र पारित करने का सबसे आसान तरीका है। इसलिए प्रत्येक कॉल यह निर्धारित करने के लिए आवश्यक जानकारी के साथ गुजरती है कि उपयोगकर्ता अधिकृत है या नहीं। डब्लूएसई कुछ आसान बनाता है लेकिन इस प्रक्रिया के सबसे संक्षिप्त वर्णनों में से एक रॉकी लोट्का की बिजनेस ऑब्जेक्ट्स की पुस्तक में पाया जा सकता है। मुझे प्रकाशकों द्वारा समीक्षा करने के लिए बहुत सारी किताबें मिलती हैं और इस में सबसे अच्छा स्पष्टीकरण
मान लें कि आपके पास डब्ल्यूसीएफ का उपयोग करने का विकल्प नहीं है, मैं डब्लूएसई 3 (वेब सेवा संवर्द्धन) का उपयोग करने का समर्थन करता हूं। आप टूलकिट/एसडीके चीज़मेमी MS's site
केवल आंतरिक मशीनों तक पहुंच सीमित करने के लिए (जैसा कि मुझे लगता है कि आपका प्रश्न पूछता है), मैं आईआईएस में एक अलग वेबसाइट स्थापित करता हूं और इसे केवल प्रतिक्रिया देने के लिए सेट करता हूं आपके सर्वर का आंतरिक आईपी पता।
मैं आईपी पते की श्वेतसूची तक पहुंच प्रतिबंधित करने के लिए फ़ायरवॉल नियम सेट करूंगा।
आईआईएस के directory security IP address restrictions का उपयोग करें, और केवल उस आंतरिक वेब सर्वर आईपी पते तक पहुंच सीमित करें।
यदि आप ऐसा नहीं कर सकते हैं, और आप निर्देशिका पर उपयोगकर्ता नाम/पासवर्ड सेट नहीं कर सकते हैं, तो WSE का उपयोग करें और सेवा में उपयोगकर्ता नाम/पासवर्ड जोड़ें, या यदि आप कुछ मजेदार चाहते हैं तो प्रमाण पत्र देखें ग्रिन
शायद मुझे सही ढंग से समझ में नहीं आया, लेकिन वेब सर्वर को सार्वजनिक रूप से क्यों बेनकाब करते हैं यदि वे केवल आंतरिक सर्वर द्वारा उपभोग किए जा रहे हैं?
इस पल में मेरे दिमाग में आईआईएस पर आईपी फ़िल्टरिंग आई है। आवेदन करने के लिए तेज़, अपने परिदृश्य में काम करना चाहिए।
क्लाइंट केर्ट के साथ टीएलएस। शुरू करने के लिए Wikipedia entry देखें।
एक साधारण HTTP मॉड्यूल काम करेगा। बस हार्डकोड (या कॉन्फ़िगरेशन से) अनुमत आईपी/होस्ट और अन्य सभी को अस्वीकार करें।
जागरूक रहें कि there are ways around श्वेतसूची आईपी। मुझे गलत मत समझो, यह एक अच्छा विचार है, और आपको निश्चित रूप से ऐसा करना चाहिए, लेकिन यदि आपका बजट/संसाधन इसे अनुमति देता है, तो आप अपने खतरे के मॉडल का विस्तार कर सकते हैं।
यदि यह केवल आंतरिक सर्वर है जो एएसएमएक्स फ़ाइलों तक पहुंच जाएगा? आप उन्हें एक अलग वेबसाइट या आभासी निर्देशिका के तहत आईआईएस में स्थापित कर सकते हैं, फिर साइट पर कुछ आईपी प्रतिबंध लगाएं। गुणों में, निर्देशिका सुरक्षा के अंतर्गत जाएं, फिर "आईपी पता और डोमेन नाम प्रतिबंध।"
इसके अलावा, पासवर्ड के लिए, डब्ल्यूएसई 3 नया जाना है, लेकिन मुझे "प्रो एएसपी.नेट 2.0 में सी # 2005" अध्याय 34 नामक अप्रेस की एक पुस्तक में एक सरल विधि मिली। (नोट, नया संस्करण इस पुस्तक का इस अध्याय को छोड़ दिया गया है।) अनुभाग कस्टम टिकट-आधारित प्रमाणीकरण है।
पुस्तक 24x7 और सफारी बचाव के लिए सदस्यता :) मैं अध्याय 34 पर एक नज़र डालेंगे। Thx। – Bullines
असल में, आप सही सोच रहे हैं मुझे लगता है। इससे मुझे आश्चर्य होता है कि पोर्ट अग्रेषण के माध्यम से वेब सेवा का खुलासा क्यों किया जाता है ??? – leppie