让Web站点固若金汤(下)

下载本文示例代码
客户鉴定应用程序 　　如果你有一个现存的用户信息数据库，你想将它用于鉴定，就应该考虑创建一个应用程序。客户鉴定应用程序可以是一个ASP 应用程序、 ISAPI过滤器、 Java applets、Microsoft ActiveX?控件或 COM对象。你可以创建一个客户鉴定应用程序来执行许多与安全有关的功能，比如鉴定、IP地址限制或访问控制。 　　比如说，它可以使用客户证明来鉴定用户， 提示用户输入他们的用户名和口令，或者相对一个用户信息数据库来鉴定用户。实际上应用程序的创建已经超出了本文的范围。有关创建ISAPI过滤器的信息，可以在Microsoft的 MSDN Online Web Workshop 站点上阅读Building ISAPI Filters and the CVTDOC Sample。 IP地址和域名限制 　　IP地址是在网络上识别计算机的唯一的数字。用户从中提出请求的计算机的IP地址通常与请求一起发送。所以基于请求方的IP地址，你可以授予或者拒绝其对服务器资源的访问权。通过在Internet 服务管理器中选择授予访问权，你表示“除了以下列出的IP地址，我授予所有人访问权。”通过选择拒绝访问，你表示“除了以下列出的IP地址，我拒绝所有人访问。” 　　通过使用网络ID和子网的屏蔽值，你可以指定单个的IP地址或成组地指定。你还可以指定一个域名或域名系统(DNS)名。使用一个域名，比如MyCompetitor.com，虽然非常方便，但是每次调用鉴定时，都会引起DNS的反向查找。这样会影响服务器的性能。 DNS查找 　　DNS服务器调用一个DNS查找来识别提供的域名并为它提供IP地址。IP地址被返回到IIS，IIS就用它来进行IP地址排除。这样就有一个性能的问题。 　　有两个因素影响性能。第一个是DNS访问权的物理位置。如果它是在地球的另一端，那么IIS要获得IP地址的往返路程都要花掉一段时间。如果DNS服务器就在运行IIS的计算机上，那么往返路程的时间就能省下了，但是查找IP地址还是要耗费CPU和内存资源。第二个因素是网络的纯粹规模。如果在你的网络上有DNS名，问题并不大。但是如果在网络上有450,000 个DNS名，那么反向查找就会用掉很长一段时间。 网络ID及子网屏蔽值 　　网络ID是一个基础IP地址，用来与引入的IP地址进行比较。子网屏蔽值是一个数字，它指定网络ID中的哪一位用来与引入的IP地址进行逐位的AND 操作。 　　通常，网络ID是一个特定的IP路由器的IP地址。一个IP路由器是一个计算机或其它设备，它知道它服务或发送的是哪个IP地址。当网络ID接收了一个请求，它或者将请求传递给它的节点，或者说“不，这里没有谁是那个名字”。这里通常是一个操作字。通常，公司的网络ID结构是那些网络管理员管理领域内“工作安全”条目中的一个，如果你需要知道使用的是哪种网络ID，或许可以问你的网络管理员。如果想看看你的计算机的IP地址、网络ID以及子网屏蔽值，在命令行中键入"ipconfig /all" 。 　　网络ID和子网屏蔽值应该是这样的：假设在你的帐号单元中有一组IP地址，你不想让它们访问你的读写站点。那么你应该用授予访问选项给每个人授予访问权，除了你特别规定的那些IP地址。 　　比如说帐号单元的网络ID是172.21.13.45。为了限制那个单元中的每个IP地址，你应该使用子网屏蔽值255.255.255.0。这有点象是使用通配符157.112.189，*这样所有以172.21.13 开头的IP地址都被排除在外了。这个问题的另一种思考方式是：“排除172.21.13.0到172.21.13.255的IP地址”。如果你要使用子网屏蔽值255.255.0.0，那么每个以172.21 开头的IP地址都被排除在外。注意子网屏蔽值并不是一个IP地址。 　　网络ID和子网屏蔽值是如何工作的？ 　　IP地址包含四组8位数。因此，IP地址172.21.13.45 应该是这样的： 　　172.21.13.45 10101100.00010101.00001101.00101101 　　一个子网屏蔽值用来屏蔽逐位的比较，也就是一个AND 操作。子网屏蔽值的位模式就象屏幕一样，或者允许或者拒绝位的比较。例如，你想用子网屏蔽值255.255.255.0 来比较上面的网络ID，是这样的： Network ID 10101100.00010101.00001101.00101101 Subnet mask yyyyyyyy.yyyyyyyy.yyyyyyyy.nnnnnnnn Matching pattern 10101100.00010101.00001101.xxxxxxxx 　　只要是有"n"的那一位，引入的IP地址就不被比较。有"y"的就进行比较。结果是任何有匹配位模式的IP地址都会被排除。匹配位模式中的"x" 意思就是“忽略这一位”。通过使用神奇的子网屏蔽255.107.0.0，你可以排除（或包括）你想要的范围内的IP地址。 　　使用子网屏蔽要小心 　　如果我使用了子网屏蔽值0.0.0.255, 那么所有以00101101 (45) 结尾的IP地址都要被排除。这包含4,294,967,296 个IP地址。知道使用什么样的子网屏蔽值非常重要，这样才不会将访问权授予你本来想拒绝授予访问权的IP地址。 共4页。 1 2 3 4 8 : 客户鉴定应用程序 　　如果你有一个现存的用户信息数据库，你想将它用于鉴定，就应该考虑创建一个应用程序。客户鉴定应用程序可以是一个ASP 应用程序、 ISAPI过滤器、 Java applets、Microsoft ActiveX?控件或 COM对象。你可以创建一个客户鉴定应用程序来执行许多与安全有关的功能，比如鉴定、IP地址限制或访问控制。 　　比如说，它可以使用客户证明来鉴定用户， 提示用户输入他们的用户名和口令，或者相对一个用户信息数据库来鉴定用户。实际上应用程序的创建已经超出了本文的范围。有关创建ISAPI过滤器的信息，可以在Microsoft的 MSDN Online Web Workshop 站点上阅读Building ISAPI Filters and the CVTDOC Sample。 IP地址和域名限制 　　IP地址是在网络上识别计算机的唯一的数字。用户从中提出请求的计算机的IP地址通常与请求一起发送。所以基于请求方的IP地址，你可以授予或者拒绝其对服务器资源的访问权。通过在Internet 服务管理器中选择授予访问权，你表示“除了以下列出的IP地址，我授予所有人访问权。”通过选择拒绝访问，你表示“除了以下列出的IP地址，我拒绝所有人访问。” 　　通过使用网络ID和子网的屏蔽值，你可以指定单个的IP地址或成组地指定。你还可以指定一个域名或域名系统(DNS)名。使用一个域名，比如MyCompetitor.com，虽然非常方便，但是每次调用鉴定时，都会引起DNS的反向查找。这样会影响服务器的性能。 DNS查找 　　DNS服务器调用一个DNS查找来识别提供的域名并为它提供IP地址。IP地址被返回到IIS，IIS就用它来进行IP地址排除。这样就有一个性能的问题。 　　有两个因素影响性能。第一个是DNS访问权的物理位置。如果它是在地球的另一端，那么IIS要获得IP地址的往返路程都要花掉一段时间。如果DNS服务器就在运行IIS的计算机上，那么往返路程的时间就能省下了，但是查找IP地址还是要耗费CPU和内存资源。第二个因素是网络的纯粹规模。如果在你的网络上有DNS名，问题并不大。但是如果在网络上有450,000 个DNS名，那么反向查找就会用掉很长一段时间。 网络ID及子网屏蔽值 　　网络ID是一个基础IP地址，用来与引入的IP地址进行比较。子网屏蔽值是一个数字，它指定网络ID中的哪一位用来与引入的IP地址进行逐位的AND 操作。 　　通常，网络ID是一个特定的IP路由器的IP地址。一个IP路由器是一个计算机或其它设备，它知道它服务或发送的是哪个IP地址。当网络ID接收了一个请求，它或者将请求传递给它的节点，或者说“不，这里没有谁是那个名字”。这里通常是一个操作字。通常，公司的网络ID结构是那些网络管理员管理领域内“工作安全”条目中的一个，如果你需要知道使用的是哪种网络ID，或许可以问你的网络管理员。如果想看看你的计算机的IP地址、网络ID以及子网屏蔽值，在命令行中键入"ipconfig /all" 。 　　网络ID和子网屏蔽值应该是这样的：假设在你的帐号单元中有一组IP地址，你不想让它们访问你的读写站点。那么你应该用授予访问选项给每个人授予访问权，除了你特别规定的那些IP地址。 　　比如说帐号单元的网络ID是172.21.13.45。为了限制那个单元中的每个IP地址，你应该使用子网屏蔽值255.255.255.0。这有点象是使用通配符157.112.189，*这样所有以172.21.13 开头的IP地址都被排除在外了。这个问题的另一种思考方式是：“排除172.21.13.0到172.21.13.255的IP地址”。如果你要使用子网屏蔽值255.255.0.0，那么每个以172.21 开头的IP地址都被排除在外。注意子网屏蔽值并不是一个IP地址。 　　网络ID和子网屏蔽值是如何工作的？ 　　IP地址包含四组8位数。因此，IP地址172.21.13.45 应该是这样的： 　　172.21.13.45 10101100.00010101.00001101.00101101 　　一个子网屏蔽值用来屏蔽逐位的比较，也就是一个AND 操作。子网屏蔽值的位模式就象屏幕一样，或者允许或者拒绝位的比较。例如，你想用子网屏蔽值255.255.255.0 来比较上面的网络ID，是这样的： Network ID 10101100.00010101.00001101.00101101 Subnet mask yyyyyyyy.yyyyyyyy.yyyyyyyy.nnnnnnnn Matching pattern 10101100.00010101.00001101.xxxxxxxx 　　只要是有"n"的那一位，引入的IP地址就不被比较。有"y"的就进行比较。结果是任何有匹配位模式的IP地址都会被排除。匹配位模式中的"x" 意思就是“忽略这一位”。通过使用神奇的子网屏蔽255.107.0.0，你可以排除（或包括）你想要的范围内的IP地址。 　　使用子网屏蔽要小心 　　如果我使用了子网屏蔽值0.0.0.255, 那么所有以00101101 (45) 结尾的IP地址都要被排除。这包含4,294,967,296 个IP地址。知道使用什么样的子网屏蔽值非常重要，这样才不会将访问权授予你本来想拒绝授予访问权的IP地址。 共4页。 1 2 3 4 8 : 下载本文示例代码


让Web站点固若金汤(下)让Web站点固若金汤(下)让Web站点固若金汤(下)让Web站点固若金汤(下)让Web站点固若金汤(下)让Web站点固若金汤(下)让Web站点固若金汤(下)让Web站点固若金汤(下)让Web站点固若金汤(下)让Web站点固若金汤(下)让Web站点固若金汤(下)让Web站点固若金汤(下)让Web站点固若金汤(下)让Web站点固若金汤(下)让Web站点固若金汤(下)