pytanie o uwierzytelnie i zarzadzanie obciazeniem serwera, zarzadzanie obciazeniem serwera, proxy, uwierzytewlnienie Opcje

[planet_x]

mam pytanko mam u siebie w systemie logowania uwierzytelnienie na podstawie sesji, klucza, cookie, user agent , ip i hosta tylko dzisiaj czytajac ksiazke dowiedzialem sie o czym takim jak zarzadzaniem ruchem w sieci i rozkladanie obciazenia serwera poprzez proxy na rozne serwery w zwiazku z czym IP moze sie zmieniac z kazdym rzadaniem, w zwiazku a czym jezeli sprawdzam usera po IP to w tym momencie jezeli serw zmieni IP zmniejszajac obciazenie to automat uniewaznia mi sesje.

A wiec mam pytanie do was bo niemoge nic znalesc w necie czy te zmiany rozdzielania ruchu przez proxy to tylko po stronie serwera , czy klienta? bo dlamnie po stronie klienta to jakas tam nowosc a wiec czy popularne jest takie narzedzie zmiany obciazenia ruchu.

Dwa jak sie przed tym zabezpieczyc ? pomyslalem ze dobre by bylo jakby user mogl wylaczyc weryfikacje ip i hosta zmniejsza poziom bezpieczenstwa ale dziala aplikacja niewywalajac co wchwilka

P.S. sorki za pisownie ale niepisze z polski i niemam pl znakow

[thornag]

No to sie user zaloguje jeszcze raz i tyle. A ty przynajmniej masz pewnosc ze Request pochodzi od tej samej osoby a nie od kogos kto jakims trafem ma cookie tej sesji. Lepiej pozwolic sie uzytkownikowi zalogowac jeszcze raz i nadpisac nowe IP.

[planet_x]

tez o tym myslalem ale jak co klikniecie na link ma sie zmieniac IP to user nic by niezrobil , powiedzmy ze sie przeloguje odswiezy raz strone i IP ulegnie zmianie, jedym slowem horror dla uzytkownika, ale chyba dobrym rozwiazaniem bedzie mozliwosc wylaczenia tego bo sesja + klucz przesylany w linku to juz spore zabezpieczenie wiem ze nie 100% ale jakies tam jest a wylaczyc bedzie mogl tylko na wlasne zyczenie i niemoze miec pretensji ze zmiejsza poziom zabezpieczen i jezeli ktos przejmie sesjee klucz to juz trudno. tylko przy zmianie waznych danych (przy wylaczonej tej opcji) poprosic jeszcze raz o login i haslo i chyba bylo by po sprawie.

[thornag]

Nie szukalem nigdy informacji o tym jak dzialaja takie serwery proxy. Ale nie wydaje mi sie zeby za kazdym zadaniem zmienialy IP. Sprobuj znalezc cos na ten temat i bedziesz mial odpowiedz.

Use the google Luke

[bim2]

thornag Masz rację ;P Nie zmieniaja sie bo ip z proxy to ip servera proxy Jedynie programy zmieniają ip Więcj jak ktos uzywa programu to niech wyłączy. On sie niepotrzebnie kryje w internecie

[planet_x]

Czyli Helion w PHP5 dla zaawansowanych robia w bambuko, bo tak to mozna byo zrozumiec w celu optymalizacji lacz mozliwa jest automatyczna zmiana adresu IP przez serwer proxy. OKi niewazne widze ze to sie rzadko zdarza wiec w celu bezpieczenstwa zostanie weryfikacja IP

[rama]

Może trochę offtopicowo, ale trzyma się jeszcze tematu

...zarzadzaniem ruchem w sieci i rozkladanie obciazenia serwera poprzez proxy na rozne serwery w zwiazku z czym IP moze sie zmieniac z kazdym rzadaniem, w zwiazku a czym jezeli sprawdzam usera po IP to w tym momencie jezeli serw zmieni IP zmniejszajac obciazenie to automat uniewaznia mi sesje.

Jeśli chodzi o ową kwestię, to ta technika nazywa się "Load balancing" i polega na rozdzielaniu zasobów przy nadmiernym ich użyciu, zakładając, że dana maszyna (lub maszyny) może je rozdzielić. W tym przypadku jeśli omawiamy serwery proxy, które posiadają przykładowo dwa łącza dostępowe do internetu (z różnymi adresami ip), to gdy jedno łącze jest wykorzystywane przykładowo w 80%-100%, to zostaje włączone w obieg drugie łącze, które znacznie zwiększa dostępność tego serwera, stąd ta kwestia zmiany adresów ip . Czasami może się zdarzyć, że za każdym zapytaniem, sesją, może zmieniać się nam adres ip

Raczej ulega zmiczy te zmiany rozdzielania ruchu przez proxy to tylko po stronie serwera , czy klienta?
Hmm, raczej jeśli taki serwer proxy będzie miał przemienny adres ip, to raczej ulega po stronie serwera proxy i serwera, klient nawet tego niezauważy

Poza tym, to większość serwerów proxy przekazuje zmienną, bodajże superglobalny $_SERVER, 'x_forwarded_for', która zawiera adres ip komputera, który wysłał zapytanie, więc w pewnym stopniu umożliwia to przeprowadzenie dalszej weryfikacji poprzez adres ip

PS W/w opis został tak napisany, aby każdy mógł zrozumięć idee Load Balancingu, więc wybaczcie jeśli zbyt ogólnikowo lub górnolotnie zostało to napisane

[thornag]

@planet_x Ta ksiazke skonczylem jakis tydzien temu. Duzo mi pomogla ale tez zrobila sieczke z informacji Polecam forum celem rehabiltacji. Ogolnie rzecz biorac mysle ze tam tlumacz mial male pojecie Przyklady sa z razacymi bledami niejednokrotnie a i tlumaczenia smieszne. Ogolnie ksiazka jest ok zeby zaczac ale nie wierz jej na 100%


Co do tematu, postaw sobie jakis testowy skrypt statyk. Nazbieraj informacji wtedy bedziesz wiedzial ile osob w serwisie korzysta z PROXY ile z tych proxcy przesyla x_forwardedi na podstawie tych informacji podejmnij decyzje bezpieczenstwo/wygoda.

[bim2]

Ja bym polecił Class5 Scout (Bastiona) Wykrywa twoje ip a nie proxy i też wykryje ip proxy Super klasa, za niecałe 4zł masz scouta i inne class 5 Więc jakos się da wykryć prawdziwe IP.

[planet_x]

takie cos jest w stanie wykryc ip za proxy przy wlaczonym balansowaniu obciazeniem?

[PHP] pobierz, plaintext 
<?php
if (!isset($HTTP_SERVER_VARS["HTTP_X_FORWARDED_FOR"])){ 
	   $IP = $HTTP_SERVER_VARS["HTTP_X_FORWARDED_FOR"]; 
	   $proxy = $HTTP_SERVER_VARS["REMOTE_ADDR"]; 
	   $host = @gethostbyaddr($HTTP_SERVER_VARS["HTTP_X_FORWARDED_FOR"]); 
   }else{ 
	   $IP = $HTTP_SERVER_VARS["REMOTE_ADDR"]; 
	   $host = @gethostbyaddr($HTTP_SERVER_VARS["REMOTE_ADDR"]); 
   }
?>
[PHP] pobierz, plaintext 

[thornag]

A co jak proxy leci do nastepnego proxy i te do nastepnego a te srodkowe nie forwarduje IP poprzednika ?

Ja tam jednak uwazam ze nie mozna zalozyc ze zawsze jestes w stanie dojsc do IP uzytkownika ktory wyslal request

[bim2]

Pomyśl o uzytkownikach nesotrady. Nie beda mieli czegoś takiego jak autologowanie, a jeśli oni komuś dadzą id sesji to juz nie twoja wina

thornag ty jesteś z wielkiej brytani?