WEBシステムに、社内イントラネットからしかアクセスさせない方法

Question

###実現したいこと・要件
PHPで開発する予定のWEBシステムがあるのですが、クライアント様から以下二つの要望がありました。

１．WEBシステムへは、社内イントラネットからしかアクセスさせない

２．ユーザ認証は、社内ADサーバにて行いたい

３．社外公開用のWEBシステムは、外部からもアクセス出来るようにしたい

###環境

・WEBシステムは、社内用・外部公開用ともに自社サイト（レンタルサーバ）の一部に設置

・データベースは同じものを参照する

・会社は複数拠点を持っているが、全てVPNで繋がっている

・ADサーバは本社に設置されており、WEBシステムへはこの本社イントラからしかアクセスさせたくない

・本社のグローバルIPアドレスは固定ではない

・AD認証用ページは、本社IISに設置し社内ローカルIPアドレスでアクセスさせる
（社外には公開しない）

###考えた方法

AD認証用のページでユーザID・パスワードを入力
↓
ADサーバで認証を行い、認証OK・認証NGの情報をAD認証用ページに返す
↓
認証OKであれば、AD認証用ページからWEBシステムへリダイレクト
（GETまたはPOSTで、認証OKの情報を渡す）
↓
WEBシステム側で、GETまたはPOSTリクエストに認証OKの情報があればWEBシステムにアクセスさせる
（認証OKの情報は、クッキーまたはセッションに保存）

###セキュリティ上の懸念

上記方法ですと、例えば社外からAD認証OKの情報をhttpリクエストに含める事で、社外からもWEBシステムにアクセス出来てしまうのではないか。。と懸念しています。

###ご質問

クライアント様の要件を満たすために、何か良い対策や方法はありませんでしょうか？

よろしくお願いいたします。

Answer 1

レンタルサーバーによっては、外部からMySQLに接続することが可能なものもあります。
参考リンク

このような機能があるレンタルサーバーでしたらシステム本体は社内ネットワークに構築し、データベースの接続先だけをレンタルサーバーにする、ということも可能です。

ただし、いくつか問題点もあります。

• 外部サーバー（およびそこへの接続）にトラブルが発生した場合、社内システムも機能しない。
• 外部MySQLへの接続許可はIPアドレスで指定することになると思うので、本社のIPアドレスが変わる度に設定しなければならない。
• IPアドレスがいつ変わるか予想がつかず、場合によっては使用中に突然繋がらなくなることもある。

2番目と3番目の問題から、私の場合は固定IPでの運用に切り替えることになりました。

Comments

[退会済みユーザー]

ご回答ありがとうございます。
レンタルサーバのMySQLは、localhostからだけでなく外部から接続を許可しているプランもあるんですね。
おっしゃる通り、2晩と3番の問題もあるので、固定IPの運用にて提案してみたいと思います。

Answer 2

こんなの見つけましたがどうでしょうかね
IISで複数のサイトを稼働させる方法です。
http://www.atmarkit.co.jp/ait/articles/0908/14/news045.html

Comments

[退会済みユーザー]

ご回答ありがとうございます。
要件・環境に追記したのですが、社内システムとは別に、DBが共通で別のWEBシステムを外部に公開する必要があり、そのサーバがLAMP環境なのでIISは使えないんです。。

Answer 3

社内ネットワーク上にWEBサーバを立てて個別に運用するのがセキュリティー面からも一番シンプルで安全だと思いますが？

Comments

[退会済みユーザー]

ご回答ありがとうございます。
ただ、DBは外部公開用WEBシステムと共通のため、DBはレンタルサーバに置く必要があります。
そうすると、社内に構築したWEBシステムからDBにアクセスする必要があるため、それが許可されているか調べてみます。

Answer 4

VPNに追加してもらうことはできないのでしょうか？

Comments

[退会済みユーザー]

ご回答ありがとうございます。
要件・環境に漏れがあったのですが、実はこのWEBシステムは自社サイトと同じサーバに設置し、一部を外部に公開します。
厳密には、同じサーバ内に外部公開用・社内用の別々のWEBシステムを置き、参照するデータベースは同じで、外部と社内で見せるデータを変える、というものです。

そもそもの要件が矛盾しているかもしれませんが、VPNをディレクトリ単位で接続する、という事は可能なのでしょうか？

Answer 5

SSLのクライアント証明書による認証はどうでしょうか。
クライアント証明書を持ち出された場合はアレですが。

また、拠点間がVPNでつながっているのであれば、WEBシステムを置くサーバにもVPNを通してローカルIPにて接続するのは難しいのでしょうか。
(レンタルサーバというところで厳しい気はしますが。)

本社のグローバルIPが固定じゃないとありますが、これは範囲も指定できないレベルで変動的なのでしょうか。
範囲が決まっていてその範囲のIPアドレスは社内で使われると決まっていれば簡単に済むと思いますが。

Comments

[退会済みユーザー]

ご回答ありがとうございます。

>SSLのクライアント証明書による認証はどうでしょうか。
>クライアント証明書を持ち出された場合はアレですが。
→こちらの方法であれば実現出来るかもしれません、ありがとうございます。

>本社のグローバルIPが固定じゃないとありますが、これは範囲も指定できないレベルで変動的なのでしょうか。
>範囲が決まっていてその範囲のIPアドレスは社内で使われると決まっていれば簡単に済むと思いますが。
→IPを固定出来れば話が早いのですが、どうしてもそれは出来ないの一点張りでして。。
社内のグローバルIPの割り当てが指定可能か、どの程度の範囲か、一度プロバイダに確認してみます。