IIS7 - Servidor de desarrollo de protección de contraseña

Question

Tengo un servidor de desarrollo que ejecuta IIS 7.0 con una aplicación web ASP.NET MVC, que se autentica mediante la Autenticación/Membresía de formularios.

Necesito poder evitar que usuarios no autorizados vean este sitio. Sin embargo, nuestros clientes deberían poder ingresar un nombre de usuario/contraseña simple para obtener acceso.

Después de hacerlo, deberían poder interactuar con la aplicación web mediante la Autenticación de formularios como si acabaran de llegar a un sitio desprotegido.

¿Alguna sugerencia?

Answer 1

Escribimos un módulo personalizado para IIS para permitir ciertos intervalos de IP de forma automática, y presentar a cualquier persona un diálogo de inicio de sesión. Una vez que iniciaron sesión, almacenó ese hecho en su sesión y simplemente pasó las solicitudes a través de.

Funciona bien, se puede aplicar a cualquier cosa en los sitios o servicios de IIS.

Answer 2

Mi respuesta anterior dijo que las formas auth y http auth podrían vivir una al lado de la otra en el modo integrado II7. Estaba completamente equivocado y desde entonces he hecho una solución simple.

Usando una costumbre HttpModule puede agregar autenticación básica junto a las formas de autenticación regular de

public class CustomBasicAuthHttpModule : IHttpModule 
{ 
    private HttpApplication httpApplicationContext; 

    public void Dispose() 
    { 
    } 

    public void Init(HttpApplication context) 
    { 
     this.httpApplicationContext = context; 
     context.BeginRequest += this.OnBeginRequest; 
     context.EndRequest += this.OnEndRequest; 
    } 

    private void OnBeginRequest(object sender, EventArgs e) 
    { 
     // your logic of checking Auth header goes here 
     if (this.httpApplicationContext.Request.Headers["Authorization"] != "Basic base64-encoded-user:pass") 
     { 
      this.httpApplicationContext.Response.StatusCode = 401; 
      this.httpApplicationContext.Response.End(); 
     } 
    } 

    private void OnEndRequest(object sender, EventArgs e) 
    { 
     if (this.httpApplicationContext.Response.StatusCode == 401) 
     { 
      this.httpApplicationContext.Response.AddHeader("WWW-Authenticate", "Basic"); 
     } 
    } 

entonces en su web.config

<system.webServer> 
    <modules> 
     <add name="CustomBasicAuthHttpModule" type="Namespace.CustomBasicAuthHttpModule, AssemblyName"/> 
    </modules> 
    </system.webServer> 

Answer 3

que acabo de hacer esto con Helicon Ape. La licencia gratuita incluye 3 sitios, que para mí fue lo suficientemente bueno.

Si usa esto en un sitio, simplemente recuerde comprobar si la licencia está activada para el sitio (menú de inicio> helicon> ape> manager, help, license manager).

Answer 4

Como Aaron señala, esto no es tan sencillo en IIS7. Ahora, la otra cara es que este viejo truco es, en el mejor de los casos, inseguro y ahora hay mejores formas de hacerlo y poder usar todos los métodos de autenticación con todas las aplicaciones tiene muchas ventajas. Hay algunas formas de evitar esto, como por ejemplo:

a) mantener el sitio de desarrollo detrás de una VPN a la que puedan acceder sus clientes.
b) proxy inverso del sitio y permitir que el proxy realice la autenticación http.
c) Un poco más involucrado sería construir su aplicación con un modo de demostración. El truco aquí es activarlo o desactivarlo desde la primera solicitud dada una cadena especial de consulta mágica. Verifique esto en Session_Start() y luego etiquete a los usuarios que vienen con él y se benefician.