Geht diese Reihenfolge in der htaccess?

hydro

Hi,

funktioniert die htaccess so?
- Umleitung www zu ohne www
- normale Umleitung
- Zugriff auf WP-Login
- Beschränkung auf zwei IP-Adressen
- und komplette Sperre der Homepage für eine IP

PHP

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTP_HOST} !^press-photographer\.de$ [NC]
RewriteRule ^(.*)$ http://press-photographer.de/$1 [L,R=301]


RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress


# Auth protect wp-login.php
<Files wp-login.php>
  AuthName "Restricted Admin-Area"
  AuthType Basic
  AuthUserFile /home/www/web240/html/.htpasswd
  Require valid-user
</Files>


# Zugriff über feste IP
AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName "Access Control"
AuthType Basic
Order deny,allow
Deny from all
# Whitelist IP Adresse
Allow from 255.08.15.1
Allow from 255.08.15.2


# Deny access to important files
<FilesMatch "(\.htaccess|\.htpasswd)">
  Order deny,allow
  Deny from all
</FilesMatch>


# IP-Sperre
order allow,deny
deny from 62.146.217.250
allow from all

Alles anzeigen

Werbepost

Hallo!

Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
✔️ Deutsche Server & DSGVO-konform
✔️ Persönlicher Support (kein 0815-Ticket-System)

Mehr erfahren

hydro

*schieb*
Wäre wirklich nett wenn sich einer der Kenner der htaccess das mal anschaut. Oder ist ein doppelter Passwortschutz plus Eingrenzung auf zwei IP-Adressen gar nicht möglich/sinnvoll?

Danke

Melewo

Hatte mir die schon dreimal angesehen, doch bei einigen Einträgen, wie mit deny und allow, da komme ich auch schnell durcheinander und ob das so mit der IP richtig ist, weiß ich auch nicht. Du müsstest ja dann zwei feste IP-Adressen haben und nicht über einen Provider wie T-Online im Web unterwegs sein, bei dem Du täglich oder bei jeder Einwahl eine neue erhältst. Es ist ja nicht die IP von Deiner Webadresse gemeint, sondern die IP, mit der Du im Web unterwegs bist. Verwechseln zumindest einige zuweilen.

Melewo

Die IP-Adressen hast Du aus diesem Beispiel übernommen,

http://wordpress-buch.bueltge.de/wordpress-sich…comment-page-4/

nun gut, ich weiß aber nicht einmal, welche Provider feste IP-Adressen verwenden und welche nicht.

Zitat

...im Internetzugangsbereich wird dynamische Adressierung vor allem von Internet-Service-Providern (ISP) eingesetzt, die Internet-Zugänge über Wählleitungen anbieten.
...
Bei DSL-Anbindung des Kunden verwenden die Provider meist ebenfalls dynamisch vergebene IPs.

http://de.wikipedia.org/wiki/IP-Adress…he_Adressierung

Wenn Du eine feste hast, dann kannst Du diese verwenden, wenn nicht, so sperrst u Dich selbst aus.

hydro

Ja, die IP bleibt. Wäre aber erst einmal nur eine IP. Wenn ich wirklich einmal über einen anderen Rechner reinwill, ließe es sich ja im Notfall mit Zugriff auf die htaccess per FTP schnell ändern. Ich bin mir nur nicht sicher, ob dies bei einem doppelten Passwortschutz überhaupt noch sinnvoll ist.
Auch IP-blacklists wie https://gist.github.com/boogah/5373406 gibt es noch. Auch da bin ich mir im Zweifel, wie sinnvoll das eigentlich ist.
Und ja, ist von der Bültge-Page.....

Melewo

Wenn sich das bei Dir mit der IP anbietet, dann würde ich das auf jeden Fall machen, weil ich das für einen ziemlich guten Schutz halte. Zumindest die ganzen Bots mit wechselnden IPs über Netzwerke können ja nicht zugreifen, was doch recht viel Wert ist. Beim Rest hilft ab und an nur probieren.

r23

Zitat von Melewo

Wenn sich das bei Dir mit der IP anbietet, dann würde ich das auf jeden Fall machen

jeep - und wie dies mit IPv6 Adressen geht, steht im Handbuch und hier
http://www.rz.ruhr-uni-bochum.de/mitteilungen/faqs/admopts.htm

hydro

Danke euch beiden. Das mit der Beschränkung durch den Domainnamen finde ich auch interessant. Muss ich mich aber erst einmal durchkramen.

Hille

Der untere Teil ist falsch. Erst sperrst du die IP 62.146.217.250, dann erlaubst du allen den Zugriff. So ist es richtig

Code

# IP-Sperre
order allow,deny
allow from All
deny from 62.146.217.250

Normalerweise ist das aber auch nicht mehr nötig, da die ganze Homepage nur von 2 IP's erreichbar ist.

Telekom bietet auch statische IP's an (Business Paket). Sonst kannst du dir auch ne statische DSL IP bei manitu holen (DSL Anschluß muß aber bei der Telekom sein).

Putzlowitsch

Ja, und bei manchen Anbietern hat man eine quasi-statische IP-Adresse. Meine IP bei Kabel-Deutschland zumindest hat schon seit Monaten nicht mehr geändert. :-)

Ich verwende auch den auf eine IP-Adresse beschränkten Zugriff auf den Admin-Bereich.

Gruß
Ingo

hydro

Zitat von Hille

Code

# IP-Sperre
order allow,deny
allow from All
deny from 62.146.217.250

Hi Hille,
die letzte IP-Sperre ist eine für die komplette Homepage - also nicht nur für den Login, sondern dass man von da gar nicht auf meine homepage kommt.
Hatte bisher aber funktioniert?

Hille

Nö, für die komplette Homepage ist der Bereich "Zugriff über feste IP" zuständig. Der letzte Teil sperrt die IP 62 146.217.250. Da du aber generell die Homepage nur für 2 IP's zulässt, ist der letzte Teil bzw. der Teil für die wp-config.php überflüssig.

hydro

Hi, war zeitgleich.....

Stimmt, hab ich gerade gemerkt. Ich wollte damit:

PHP

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName "Access Control"
AuthType Basic
Order deny,allow
Deny from all
# Whitelist IP Adresse
Allow from 81.209.141.79

eigentlich nur den Zugriff aufs WP-Login sperren. Was ist da falsch?

Hille

Haste ne statisch / feste IP?

hydro

ja, zumindest hat sie sich im letzten halben jahr nicht geändert

Melewo

Die eine mit der 62.146.217.250 gehört in die htaccess vom Root, die andere in die htaccess vom zu schützenden Verzeichnis.

hydro

jetzt wirds heller.........
werde ich gleich noch testen, danke

Hille

Versuche es mal so

Apache Configuration

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTP_HOST} !^press-photographer\.de$ [NC]
RewriteRule ^(.*)$ http://press-photographer.de/$1 [L,R=301]


RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress


#Zugriff begenzen wp-login.php
<Files wp-login.php>
order deny,allow
deny from all
Allow from deine_IP
</Files>


# Deny access to important files
<FilesMatch "(.htaccess|.htpasswd|wp-config.php|liesmich.html|readme.html)">
order deny,allow
deny from all
</FilesMatch>

Alles anzeigen

hydro

Hi
Danke, klappt wunderbar.

Heisst ich spare mir den zweiten Passwortschutz für die wp-login, da ich eh nur über eine ip zugreife. richtig?
Also den da:

PHP

# Auth protect wp-login.php
<Files wp-login.php>
  AuthName "Restricted Admin-Area"
  AuthType Basic
  AuthUserFile /home/www/web240/html/.htpasswd
  Require valid-user
</Files>

ein frage noch:

PHP

# Deny access to important files
<FilesMatch "(.htaccess|.htpasswd|wp-config.php|liesmich.html|readme.html)">

Hier könnte ich doch die .htpasswd rausnehmen, da die dann eh nicht mehr gebraucht wir.
Und für was ist der schutz von readme und liesmich gut?

thx

Hille

Richtig, der Admin Bereich kann nur noch über die freigegebene IP erreicht werden. Ein extra Passwort Schutz ist nicht mehr nötig.
In der readme und liesmich Datei werden Infos über die verwendete Version gegeben. Dies sollte generell vermieden werden (auch im Quelltext).

Willkommen! Melden Sie sich an oder registrieren Sie sich.

Geht diese Reihenfolge in der htaccess?

Jetzt mitmachen!

Benutzer online in diesem Thema