Sicurezza accesso webserver locale da esterno

[cdtux]

Avrei bisogno di un consiglio relativo all'aspetto sicurezza del mio webserver (Apache) locale visto che devo assolutamente accedervi dall'esterno della rete lan.

Vi spiego un attimo la situazione:
All'interno della root di apache ci sono varie cartelle con le varie "applicazioni web/siti" in fase di sviluppo e non (non ho impostato i vari virtual host, dato che per accedere ai vari "siti/applicazioni" mi è sufficiente impostare IP_lan_webserver/cartella), ma solamente una (per il momento) deve essere accessibile dall'esterno (digitando nel browser mio_IP_esterno/cartella).
Il resto dei files/cartelle devono essere inaccessibili dall'esterno, compresa la root di apache (giusto per capirci, deve essere inibito l'accesso digitando solamente il mio indirizzo IP esterno)

Al momento ho impostato il tutto così:

- Ho un IP statico quindi ho impostato nel router il forward della porta 80 sul mio indirizzo ip interno alla Lan

- Ho inserito nella root di apache un file .htaccess con impostate la regola "Allow" solo per gli indirizzi interni alla lan (127.0.0.1 e 192.168.X.X/24) e la regola "Deny from all" per escludere tutti gli altri IP

- Ovviamente nell'unica cartella che deve essere accessibile dall'esterno, ho aggiunto al file .htaccess la direttiva "Allow from all" (visto che accedendo dall'esterno con telefono/tablet non ho potuto inserire l'IP del dispositivo, visto che è dinamico)


Con queste impostazioni tutto funziona a meraviglia, infatti riesco tranquillamente ad accedere alla cartella desiderata ma non alla root di apache e alle altre sottocartelle.



Secondo voi posso stare tranquillo con una configurazione del genere??
Ho impostato il tutto in modo corretto o ci sono delle "best pratice" che non ho rispettato??


[Paranoia mode on] :asd:
Per elevare ancora di + la sicurezza, eventualmente cosa mi consigliate di fare??
[Paranoia mode off]


Spero di aver scritto tutto in modo chiaro :asd:
Grazie a tutti in anticipo


PS. Ovviamente il "sito" accessibile dall'esterno, ha una parte "pubblica" e una parte "privata" visibile solo tramite autenticazione (username+password).

 

[alex87alex]

Come hai fatto è corretto. Tuttavia in modalità paranoia, personalmente, terrei le due parti del server (pubblica e privata) su due porte diverse, magari con le direttive di virtualhost che non uso mai, ma in questo caso sono comode.
La porta in ascolto sulla tua rete privata la blocchi per l'esterno con iptables, mentre quella pubblica la lasci libera. Io la vedrei meglio in questo modo (così controlli gli accessi con due files di log separati, semmai ce ne fosse bisogno... E gli altri tentativi di escalation sulla porta destinata al locale vengono monitorizzati da iptables.

 

[cdtux]

@alex87alex Grazie per le dritte.
Effettivamente quella di mettere in ascolto le due parti su porte diverse sembra un'ottima idea a cui non avevo pensato.
Nei prossimi giorni mi studierò la cosa e farò delle prove.