Afschermen pagina's in IIS

[Verwijderd]

Hallo,

Miischien is deze vraag al een keer voorbij gekomen. Maar ik heb een intranet/ extranet gebouwd voor verschillende lokaties in Nederland. Nu hebben we daar een aparate applicatie ernaast draaien die automatisch pagina's genereert en deze pagina's kopieerd naar de IIS waar de intranet/ extranet op draait. Nu is het momenteel zo als je 'perongeluk' deze pagina weet en intypt kun je er zo bijkomen.

Een gebruiker moet wel eerst inloggen om binnen het intranet/extranet te komen, en je hebt dus een sessie als je bent ingelogd.

Is het mogelijk om bij de pagina's die automatisch gegenereerd worden (je weet dus niet hoe ze van te voren worden benoemd) een check in te bouwen als je gerechtigd bent (dus als je ingelogd bent) dat deze pagina's gewoon getoond mogen worden en anders wordt je geredirect naar het inlogscherm.

Bij voorbaat dank,
Wouter Splinter

[Verwijderd]

iets ala dit??

code:

    'De variabelen voor de recordset rsVerify en de query sqlVerify aanmaken
    Dim rsVerify
    Dim sqlVerify
    
    'sql query
    sqlVerify = "SELECT * FROM tblVerify WHERE Username = '" & session("user") & "'"
    'De recordset rsVerify aanmaken
    Set rsVerify = Server.CreateObject("ADODB.Recordset")
    With rsVerify
        .ActiveConnection = conn
        .Source = sqlVerify
        .Cursortype = 3
        .CursorLocation = 3
        .LockType = 1
    End With
    
    'Openen van de recordset
    rsVerify.Open
        
    'Controleren of deze pagina via de officieele weg binnen is gekomen
    'als dit niet het geval is moet de bezoeker opnieuw inloggen.
    If rsVerify.RecordCount < 1 or Session("Sessie") <> Session.SessionID Then
        Response.Redirect("jouwPad/default.asp")
    End if

[P_de_B]

Aparte applicatie van maken en allow anonymous access uitzetten voor de intranet pagina's? Dan kunnen alleen de users van jullie lokale domein erbij.

Dit kun je allemaal in de beheersconsole van IIS instellen.

[Verwijderd]

Bedankt voor de reactie, maar ik zit nog met het volgende


> 'Controleren of deze pagina via de officieele weg binnen is gekomen

Hoe doe je dit dan???

Wouter

[4of9]

kijk eens bij server variables en dan naar referer bijvoorbeeld. (om maar een optie te noemen)

[Verwijderd]

Verwijderd schreef op 07 januari 2004 @ 09:04:
Bedankt voor de reactie, maar ik zit nog met het volgende


> 'Controleren of deze pagina via de officieele weg binnen is gekomen

Hoe doe je dit dan???

Wouter

dat staat er toch :

code:

If rsVerify.RecordCount < 1 or Session("Sessie") <> Session.SessionID Then
        Response.Redirect("jouwPad/default.asp")
    End if

Je laat je gebruikers inloggen dus je kunt hun gegevens verifiëren aan de hand van records in een database. Dan vul je de sessionID met één van die gegevens.

code:

'Gebruiker is gevonden met juiste wachtwoord. Sessie-variabele vullen met SessionID.
        Session("Sessie")= session.SessionID

Edit::::

Hoe controleer je nu dan of een gebruiker een "ingelogde" is?

[ Voor 10% gewijzigd door Verwijderd op 07-01-2004 09:19 ]

[Verwijderd]

Nadat er ingelogd is door een gerechtigde gebruiker wordt er een session "logonok" op true gezet en de session "userid" wordt gevuld.

[gorgi_19]

4of9 schreef op 07 januari 2004 @ 09:09:
kijk eens bij server variables en dan naar referer bijvoorbeeld. (om maar een optie te noemen)

Da's een beetje eng; sommige firewalls, zoals NIS, blocken een referrer

Verder denk ik dat een state / username / userid opslaan in een sessie in de meeste gevallen voldoende is; om steeds een call naar de database te maken, vind ik een beetje overkill hiervoor. Vervolgens iedere pagina deze sessie controleren.

gorgi_19 schreef op 07 januari 2004 @ 09:28:
[...]

Da's een beetje eng; sommige firewalls, zoals NIS, blocken een referrer

Verder denk ik dat een state / username / userid opslaan in een sessie in de meeste gevallen voldoende is; om steeds een call naar de database te maken, vind ik een beetje overkill hiervoor. Vervolgens iedere pagina deze sessie controleren.

Waarom heb je gekozen voor een flag en niet voor een userid / username, om deze op te slaan?

[ Voor 69% gewijzigd door gorgi_19 op 07-01-2004 09:30 ]

[Verwijderd]

Verwijderd schreef op 07 januari 2004 @ 09:26:
Nadat er ingelogd is door een gerechtigde gebruiker wordt er een session "logonok" op true gezet en de session "userid" wordt gevuld.

dan kun je op je "nieuwe" pagina's toch die sessies controleren??

[Verwijderd]

Dat is dus het grote probleem, de pagina's die automatisch gegenereerd worden krijgen een eigen naam, die ik niet van te voren kan weten.

Het enige wat ik weet is dat al deze automatisch gegenereerde pagina's onder een bepaalde directory komen te staan. Alle pagina's die hieronder vallen mogen dus niet direct benaderbaar zijn indien de gebruiker daartoe tot gerechtigd is.

[Verwijderd]

je hoeft toch ook niet de pagina naam te weten, je moet een sessie controleren

[gorgi_19]

Dat is dus het grote probleem, de pagina's die automatisch gegenereerd worden krijgen een eigen naam, die ik niet van te voren kan weten.

Dat maakt toch niet uit; je include een bestand, ongeacht de naam?

[Verwijderd]

Maar de pagina's die gegenereerd worden kan ik niet wijzigen, dus daar kan ik die check niet inbouwen.

[gorgi_19]

Verwijderd schreef op 07 januari 2004 @ 09:48:
Maar de pagina's die gegenereerd worden kan ik niet wijzigen, dus daar kan ik die check niet inbouwen.

Dan lijkt het me het makkelijkste als je, zeker als je geen pagina's kan wijzigen, de NTFS-security van IIS gebruikt.