Webserver mit Prä-Authentifizierung (Reverse-Proxy) veröffentlichen

[wznutzer 37]

Guten Morgen,

 

ich würde gerne einen Webserver hinter einer Authentifizierung veröffentlichen. Der Webserver wird evtl. ein Bookstack, Wiki.JS oder irgendwas ähnliches sein. Ziel ist, dass ich mich nicht auf die Authentifizierung der eingesetzten Software verlassen will, sondern nur Authentifizierte Zugriffe an den Webserver weitergereicht werden sollen (Reverse-Proxy). Ähnlich wie man das vor vielen Jahren mit einem Microsoft TMG für Exchange machen konnte. Idealerweise mit SSO, aber das soll hier nicht Thema sein.

 

Der Webserver wird bei Azure laufen. Die Authentifizierung soll gegen das Azure-AD (Entra ID) gemacht werden. Mir ist es noch nicht gelunden im Azure-Universum das richtige Produkt zu finden. Application Gateway wäre was, aber das kann so wie es scheint keine User-Authentifizierung.

 

Hat jemand einen Tipp für mich, welches Produkt bei Azure einem Reverse-Proxy mit User-Authentifizierung gleicht?

 

Die meisten Produkte dieser Art können direkt per SAML oder OpenID angebunden werden. Aber ich hätte gerne, dass überhaupt keine unauthentifizierten Zugriffe auf dem Webserver landen.

 

Schönen Tag

[Dukel 468]

Kurzes Googlen:

https://www.security-insider.de/azure-ad-anwendungsproxy-fuer-die-sichere-bereitstellung-von-webapps-a-1116308/

 

Hilft das?

[wznutzer 37]

vor 9 Minuten schrieb Dukel:

Hilft das?

Ich hatte den Anwendungsproxy so interpretiert, dass dieser sich "nur" für die Veröffentlichung der Azure WebApps eignet und nicht um ganze eigenständige Webserver zu veröffentlichen. Liegt vielleicht auch daran, dass man inzwischen einfach alles App nennt . Aber danke, anschauen werde ich mir das nochmals genau.

[wznutzer 37]

Evtl. zu früh gefreut oder auch nicht (https://learn.microsoft.com/en-us/entra/identity/app-proxy/application-proxy-faq)

 

Can only IIS-based applications be published? What about web applications running on non-Windows web servers? Does the connector have to be installed on a server with IIS installed?

No, there's no IIS requirement for applications that are published. You can publish web applications running on servers other than Windows Server. However, you might not be able to use preauthentication with a non-Windows Server, depending on if the web server supports Negotiate (Kerberos authentication). IIS isn't required on the server where the connector is installed.

 

Das macht allerdings keinen Sinn, weil auch ausdrücklich andere Authentifizierungsarten als Windows-Authentifizierung unterstützt werden.

https://techcommunity.microsoft.com/t5/microsoft-entra-blog/azure-ad-application-proxy-support-for-saml-based-apps-is-ga/ba-p/566356

 

Ich werde das einfach ausprobieren, danke.

[testperson 1.859]

Hi,

 

evtl. traefik? Ansonsten würde ich fast behaupten, dass das mit dem Citrix Netscaler machbar sein sollte. Wobei ich mich in dem Bereich am Netscaler nicht auskenne. ;)

 

Gruß

Jan

[mwiederkehr 395]

Mit Authentik und dem Nginx Proxy Manager sollte sich das realisieren lassen. Zertifikate (Let's Encrypt) wären damit auch gleich erledigt.

[wznutzer 37]

Vielen Dank für den Input. So sind die nächsten Regenwochenenden auch ausgebucht .