Как закрыть доступ к ip для всех, кроме одного?

Question

[windf1n]

В общем я транслирую камеру на сайте. Сайт находится на сервере, к которому подключена камера. Я создал поток через vlc плеер. И по итогу у меня получился такой html код:

<video id="video" src="http://x.x.x.x:8070/" autoplay="autoplay" style="width: 100%;height:400px;"> </video>

x.x.x.x - это статический ip. Я открыл порты в роутере и в брэндмауэре. В общем всё хорошо, всё транслируется. Но мне нужно чтобы поток мог идти только на сайте. Т.е. люди могли просматривать камеру только на сайте. А сейчас я могу скопировать этот, данный выше html-код, и вставить в какой-нибудь html-файл. Тем самым могу просматривать камеру отдельно от сайта. Нужно это предотвратить, подкиньте идеи.

Дополнение: я думаю сейчас запрос идёт клиентом на сервер. Нужно чтобы сервер обращался к самому себе. Т.е. нужно как то это реализовать не напрямую через html.

Comments

[АртемЪ]

windf1n,

x.x.x.x:8070"

У камеры адрес белый?

Answer 1

[Рональд Макдональд]

Разрешите в файрволле своего роутера доступ на этот IP только с сервера, где хостится сайт.

Comments

[windf1n]

Это в фильтре ip адресов сделать?

[Рональд Макдональд]

windf1n, я хз, как там в роутере у вас.
Возможно, "белый список", где будет только ip хостинга.

[windf1n]

Рональд Макдональд, окей понял
попробую

[moropsk]

я бы здесь так не светил
Исправь на xxx.xxx.xxx.xx:8070

[windf1n]

moropsk, сделал. из коммента тоже убери))

[Рональд Макдональд]

Boris Stelmakh, разве? Трансляция же с сервера идёт.

[windf1n]

Рональд Макдональд, я сделал, но по итогу всё осталось также

[windf1n]

Рональд Макдональд, а когда я ставлю статический ip то трансляция вообще недоступна нигде.

[windf1n]

Boris Stelmakh, а как сделать поток не через html, чтобы запрос как бы шёл к самому серверу внутри, а не клиент обращался к серверу.

Answer 2

[Stalker_RED]

чтобы извне было невозможно просматривать?

Разве что плеер с шифрованием, и ключи выдавать только тем, кто зашел на сайт. И периодически их менять.

Вы там платный стриминг устраиваете, или что-то вроде? Для этого вообще-то специальный софт существует.

Comments

[windf1n]

Да платный просмотр камер.

[windf1n]

Stalker_RED, расскажите по подробнее о софте.

[Stalker_RED]

windf1n, ну вот первое попавшееся по запросу "protect video streaming"
https://www.dacast.com/blog/secure-streaming-solution/
я не пользовался ничем подобным, просто какбы знаю что оно есть :)
возможно оно выйдет гораздо дешеле, чем писать самому, особенно не разбираясь в вопросе.

Answer 3

[index0h]

Гуглите на тему content security policy.

Comments

[windf1n]

Спасибо поищу

Answer 4

[АртемЪ]

На файерволе хоста x.x.x.x создаем правило - разрешить доступ с y.y.y.y, а со всех остальных запретить.
Если фаервола нет - поставить.

Comments

[windf1n]

Это не работает. Запрос идёт на клиентской стороне.

[АртемЪ]

windf1n, Какая разница откуда идет запрос? Если запрос пришел не с адреса сервера, он будет уничтожен фаерволом!

[windf1n]

АртемЪ, можете мне помочь? В телеграмме? https://t.me/windf1n

[АртемЪ]

В телеграмме нет. Пишите тут.

[windf1n]

АртемЪ, так. Фаерфолл ставится на сервер? Или в роутер?

[АртемЪ]

windf1n, фаервол ставится перед камерой к которой нужно ограничить доступ. На чем именно он будет реализован не важно.
У камеры свой белый адрес или она за NAT'ом?

[windf1n]

АртемЪ, камеры локально подключены к регистратору. А регистратор к серверу. У регистратора свой ip.

[АртемЪ]

windf1n, У регистратора белый IP?
Доступ нужно ограничить к регистратору или к камере?

[windf1n]

АртемЪ, я ввожу её в vlc плеер по rtsp протоколу и получаю http

[АртемЪ]

windf1n,

я ввожу её в vlc плеер по rtsp протоколу и получаю http

Не понятно что вы вводите в VLC и при чем тут http.

[АртемЪ]

Просто ответьте на вопросы -
1)Ограничить доступ надо к чему?
2)Устройство к которому надо ограничить доступ имеет белый IP адрес?

[windf1n]

АртемЪ, ограничить доступ нужно к регистратору.
Статический ip есть у сервера.

[windf1n]

Извините, что я возможно "туплю")

[АртемЪ]

windf1n, Повторю вопрос еще раз-

Устройство к которому надо ограничить доступ имеет белый IP адрес?

Если вам нужно ограничить доступ не к серверу, то мне не интересно какой у сервера IP.
Если нужно ограничить доступ к серверу - тогда надо просто сказать есть ли у него белый IP адрес. Статическоий он у вас или динамический вообще не интересно.

[windf1n]

АртемЪ, у сервера есть белый ip. Через него проброшены порты к устройству, т.е. они доступны в сети.

[АртемЪ]

windf1n, Вы издеваетесь?
Я вам задал четкий вопрос -

Устройство к которому надо ограничить доступ имеет белый IP адрес?

Ответить на него можно одним из трех слов - да, нет, не знаю.
Все.

Мне не интересно какие адреса у вас имеют сервера, чайники, микроволновки и принтеры, куда проброшены порты и что курит админ. Это к озвученной задаче не имеет никакого отношения.

[windf1n]

АртемЪ, окей, нет.

[АртемЪ]

windf1n, Если устройство не имеет белого IP адреса значит оно находится за NAT'ом и доступ из внешней сети к нему невозможен.
Убедитесь чтобы на устройстве которое делает NAT не были проброшены порты на нужное устройство.
Если порты проброшены и нужны по каким-то причинам, тогда на файерволе этого устройства которое делает NAT создайте правило, ограничивающее адреса с которых нужно подключится.

[windf1n]

АртемЪ, спасибо. Попробую разобраться.

[Robur]

АртемЪ, автору надо ограничить доступ для пользователей (считай произвольных компов в сети), тем кто открыл ссылку с его сайта - разрешить, а тем кто открыл ту же самую ссылку с любого другого - запретить. Такое просто правилом в файрволе не решается - это вообще может быть один и тот же клиент, открывающий видео по разному.

[АртемЪ]

Robur, Это почему не решается?
Есть камера отдающая видеопоток, она за NAT'ом, доступ к ней из глобальной сети невозможен.
Есть сервер ретранслирующий видеопоток - подключился к серверу и смотришь поток на сайте. Больше никак - доступ к камере невозможен, поскольку она за натом, тут даже файервол не нужен.

[windf1n]

АртемЪ, здравствуйте ещё раз. В общем пытался реализовать это в брэндмауэре windows и в ip-фильтрах роутера. Не получилось. Я закрывал для всех доступ по порту 8070 кроме моего ip сервера пробовал даже локальный ip сервера. Может я что-то не так делаю?

[АртемЪ]

windf1n,

Не получилось.

Что конкретно не получилось?
По прежнему можно подключиться извне к вашему регистратору?

[windf1n]

АртемЪ, да можно. Я пытался закрыть доступ для одного моего ip по порту 8070 - не получилось. А когда я закрыл полностью доступ по всем портам, тогда всё полностью закрывается для меня, даже сайт. Я делал ограничения к статическому ip сервера.

[АртемЪ]

windf1n, Где именно вы делали? Какая там ОС?

[windf1n]

АртемЪ, на сервере Windows Server 2008. Делал в брэндмауэре и в настройках роутера.

[АртемЪ]

windf1n, NAT у вас кто делает, раздает интернет на регистратор? Роутер?
Сервер с вебсайтом находится в одной локальной сети с регистратором или нет?

[windf1n]

АртемЪ, да

[АртемЪ]

windf1n, Ок, значит нат на роутере, а сервер с вебсайтом в одной локальной сети с регистратором или нет?

[windf1n]

АртемЪ, да всё на одном сервере и роутер и камеры всё там.

[АртемЪ]

windf1n, Значит у вас все в одной локальной сети.
Надо зайти на роутер и посмотреть куда проброшены порты - они должны быть проброшены на сервер.
И все.
Это нужно чтобы зайти на сервер, а на регистратор ничего не должно быть проброшено.
Модель роутера какая?

[windf1n]

АртемЪ, проброшено на сервер и открыты порты для регистратора.

[windf1n]

АртемЪ, d-link dir 615

[АртемЪ]

windf1n,

проброшено на сервер и открыты порты для регистратора.

Так закройте на регистратор. Зачем вы их открыли?

[windf1n]

АртемЪ, сейчас попробую. в скором времени отпишу.

[windf1n]

АртемЪ, спасибо вам, что помогаете.

[Robur]

АртемЪ, потому что файрвол,ип, нат и прочее у вас на уровне транспорта, а условие ограничения- на уровне приложения.
Как вы планируете файрволлом разграничить доступ так чтобы с одной вкладки браузера можно было смотреть а с другой нет , если обе они забирают видео с одного и того же ип?

[windf1n]

АртемЪ, не работает вы не правы.

[windf1n]

Robur, а что вы предложите?

[Robur]

windf1n,
У меня нет опыта организации видео стримов, и хотя и понимаю проблему и задачу, у меня нет готового ответа.

Мне кажется самое адекватное решение для вас на том уровне понимания технологий который у вас есть - это взять готовый сервис где все технические вопросы уже решены. Или поправить математику вашего проекта чтобы вам это все еще было выгодно, или взять тестовый аккаунт у такого сервиса и очень хорошо покопаться на предмет того как они защищают видео от вставок на чужой сайт.
Такой же функционал есть у youtube и vimeo например - можно попробовать поковырять их.
Второй вариант - собрать что-то "на коленке" достаточно надежное чтобы вашему среднему пользователю было проще заплатить чем обходить.

Там вверху советовали CSP - я бы это попробовал для начала. Проверять referrer так же можно.
Затем - если сервис платный, значит у ваших пользователей есть аккаунты, их тоже можно задействовать, например генерить токены для ссылки на видео - или одноразовые, или с привязкой к аккаунту пользователя, чтобы видео по этой ссылке мог посмотреть только пользователь для кого она создана.
Много всего можно придумать, но это нормальный такой объем работы и ресерча.

С большой вероятностью вам будет достаточно чего-то простого типа проверять referrer.