apache allow/deny list werkt niet met ipv6

[daft_dutch]

ik heb veel vhosts met apache
maar zodra je een ssl maakt is er een db met je hostname op het web dus gaan bots er op scannen.

Ik heb een allow/deny list functionaliteit op mijn apache2 server gezet en dit werkt prima. tot dat ik ipv6 aan zet.

ik voeg de ipv6 toe van een nieuw lijst naar de allow lijst en ik wordt geredirect naar noaccess.

iemand een idee hoe ik dit kan fixen. of dit kan debuggen?

code:

<IfModule mod_ssl.c>
<VirtualHost *:443>
 ServerName  mijn sub hostname
RewriteEngine on
# Some rewrite rules in this file were disabled on your HTTPS site,
# because they have the potential to create redirection loops.


    DocumentRoot /var/www/noaccess
    <Directory "/var/www/noaccess">
        Options FollowSymLinks
        AllowOverride All
        Require all granted
    </Directory>

  # Define RewriteMap to read allowed IPs from file
    RewriteMap allowedips txt:/etc/apache-allow/allowed_ips.conf

    # Check if the requester's IP is in the allowed IPs
    RewriteCond %{REMOTE_ADDR} ^(.+)$
    RewriteCond %{REMOTE_ADDR} !^192\.168\.|^10\.
    RewriteCond ${allowedips:%1|NOT-FOUND} =NOT-FOUND

    RewriteRule ^(.*)$ /var/www/noaccess/index.php [L]

    # If IP is in allowed IP ranges, perform reverse proxy
    ProxyPass / enz enz enz
   enz enz
</VirtualHost>
</IfModule>

hier een voorbeeld van de inhoudt van allowed_ips.conf
(maar dan zijn dit ip adressen van mijn deny list)

code:

34.1.34.91 91.34.1.34.bc.googleusercontent.com.
2408:8207:1920:a80:c59e:7bb8:5bd5:b9da 2408:8207:1920:a80:c59e:7bb8:5bd5:b9da

[GarBaGe]

Wellicht heb je last van de Apache escaping en dien je de NE-flag te gebruiken?
https://httpd.apache.org/docs/2.4/rewrite/flags.html#flag_ne

[Hero of Time]

zodra je een ssl maakt is er een db met je hostname op het web

Hoe bedoel je? Bedoel je DNS? Dat is een van de vereiste om een fatsoenlijk certificaat te hebben, maar geen harde must want je kan net zo goed een self-signed cert maken die ook op IP matched. Je krijgt dan alleen wel een melding dat het certificaat niet gevalideerd kan worden.
Voor het crawlen van bots heeft het geen invloed, ze vinden je toch wel.

Voor je probleem, heb je al je logs bekeken? Documentatie van Apache gelezen over matchen van IPv6 adressen? Gedacht aan de privacy extentie van IPv6?

Je vraag is tevens over een stuk server software, je kan Apache namelijk net zo goed op Windows draaien. Het heeft daarom geen directe relatie met Linux. Dit topic verplaats ik dan ook naar het juiste forum. LNX -> SSC.

[ Voor 4% gewijzigd door Hero of Time op 02-09-2024 12:44 ]

[daft_dutch]

vreemd. (in mijn pause naar gekeken)
alle ipv6 ip addressen verwijderd.
opnieuw verbinding gemaakt. ipv6 in logs.
voeg toe aan white list.
werkt.

Geen idee waarom die het eerst niet deed.

[daft_dutch]

Hero of Time schreef op maandag 2 september 2024 @ 12:43:
[...]

Hoe bedoel je? Bedoel je DNS? Dat is een van de vereiste om een fatsoenlijk certificaat te hebben, [...]
Voor het crawlen van bots heeft het geen invloed, ze vinden je toch wel.

[...]

Als je een publieke wildcard hostname hebt. is er geen enkele web registratie naar een eventueel sub domain. dus kunnen web crawlers je ook niet vinden. Immers er is geen enkele verwijzing online naar jou sub domein.

Tenzij je een geregisseerd ssl certificaat hebt dan staat jouw sub domain naam in een publieke database. Wat webcrawlers gebruiken.

Als je dat niet wil moet je naast een wild card domain ook een wildcard ssl certificaat hebben wat pleuris duur is. of self signed certificaten wat telkens lastiger wordt.

[Snow_King]

Hero of Time schreef op maandag 2 september 2024 @ 12:43:
[...]

Hoe bedoel je? Bedoel je DNS? Dat is een van de vereiste om een fatsoenlijk certificaat te hebben, maar geen harde must want je kan net zo goed een self-signed cert maken die ook op IP matched. Je krijgt dan alleen wel een melding dat het certificaat niet gevalideerd kan worden.
Voor het crawlen van bots heeft het geen invloed, ze vinden je toch wel.

Een valide certificaat komt in een centrale db te staan die publiek bekend is. Zodra je dus een Let's Encrypt (voorbeeld) cert aanvraagt kom deze terecht: https://www.ncsc.nl/actue.../certificate-transparancy

@daft_dutch Waarom gebruik je mod_rewrite en niet gewoon de Allow/Deny van Apache en match je daar op CIDRs

Order Deny,Allow
Deny from All
Allow from 111.222.333.444
Allow from ::1

[daft_dutch]

Kan ik met home assistant host toe voegen zonder de config te wijzigen

[Hero of Time]

Welke hosts zou je willen/moeten toevoegen na je initiële configuratie? Als je met je mobiel er bij wilt, zorg je voor VPN omdat je anders het hele mobiele netwerk beschikbaar moet maken (en dat wil je logischerwijs niet). En voor IPv6 doe je al je subnet als je het verstandig aanpakt.

[daft_dutch]

Hero of Time schreef op maandag 2 september 2024 @ 18:45:
Welke hosts zou je willen/moeten toevoegen na je initiële configuratie? Als je met je mobiel er bij wilt, zorg je voor VPN omdat je anders het hele mobiele netwerk beschikbaar moet maken (en dat wil je logischerwijs niet). En voor IPv6 doe je al je subnet als je het verstandig aanpakt.

goede usecase is jellyfin. niemand hoeft te weten dat ik een jellyfin service heb. en als je met vpn verbinding maakt kan je niet via je wifi verbinding maken met de lokale chromecast.

Ik ben ergens maak verbinding met jellyfin. ga naar home assistant klik op de laatste toegevoerde hostname van de allow new hostnames lijst toe.
en ik heb verbinding met jellyfin.

[Hero of Time]

Dus je neemt je Chromecast mee naar een vriend, maakt verbinding met je eigen server en je wilt dan dat je Chromecast hier bij kan. En het toevoegen doe je via je telefoon dan neem ik aan?

Ik ben niet zo bekend met Chromecast en Jellyfin, maar kan de Chromecast niet zelf een VPN opbouwen naar je huis en zo bij je Jellyfin komen? Je zou dan met lokale apparaten op hetzelfde netwerk als de Chromecast nog steeds bij de Cast kunnen.

Het klinkt iig wel allemaal als een aardige edge case. Zeker omdat je schijnbaar HA bereikt via Jellyfin. Of je maakt er apart verbinding mee. Wat dan zou betekenen dat je die ook al voor de halve wereld open hebt gezet (of die wel via VPN hebt afgeschermd).

Ik probeer mee te denken met een oplossing. Ik ken namelijk alleen mijn eigen situatie hoe ik zaken thuis benader en dat is met Wireguard en m'n telefoon, meer niet. Heb ook geen speciale diensten of wat dan ook, alleen Pi-hole en Domoticz.

[daft_dutch]

helaas. sommige cloud diensten voor mijn home assistent vereisten dat die open is voor de wereld. google en samsung smarthings. home assistant zit wel op de deny list. en die is aardig gevuld. (iedereen die op bijvoorbeeld mijn intranet sub domein kijkt wordt automatisch aan de deny list toegevoegd. (dat zijn er al een aantal))