Interne IP, Proxy

Also ich würde mir mit Virtual Box die benötigte Anzahl an virtuellen Maschinen erstellen, z.B. für jede wichtige Browser/OS Kombination eine. In den Netzwerkeinstellungen ein internes Netzwerk mit statischen IP-Adressen einrichten, das ermöglicht die Kommunikation der VM's untereinander und verhindert, dass ungewollt irgendwas nach Außen dringt. Jede VM braucht eine eigene IP- und MAC-Adresse

Um das ganze möglichst übersichtlich zu halten und IP-Konflikte zu vermeiden, solltest du einen anderen IP-Bereich verwenden als außerhalb der VM's, wenn du selbst z.B. ein Klasse C (192.168..) Netz verwendest, könntest du für die Testerei ein Klasse B (172.16..) Netz verwenden. Diese Netzklassen werden sowieso nicht geroutet, also das "nach Außen dringen" wäre in dem Fall maximal in dein Netzwerk.

Aber so kannst du schön den Traffic monitoren, es erleichtert das Troubleshooting und du musst dich nicht mit Netzwerkzeugs herumschlagen -> mehr Zeit für eine bessere Applikation.

Wieso soll es überhaupt pro IP-Adresse nur einen User geben können? Du wirst vermutlich bald bemerken, dass das eine sinnlose Einschränkung ist.

Also wenn du schon ausschl. Layer 3 und 4 zur Identifikation der Clients verwenden willst, dann musst du mindestens Client-IP + Client-(Source-)Port in Betracht ziehen; alles andere ist ein Designfehler. Diese Informationen exportiert dir die Socket-API. Falls die Information auch fuer Chatteilnehmer sichtbar ist, waere Salten+Hashen auch angebracht, um die Privatsphaere der Nutzer einander gegenueber zu wahren.

Haben denn diese Kunden statische IP-Adressen?
Ansonsten kann ich mir nicht wirklich erklären, wie du diese mit einer Datenbank abgleichen willst.
Außerdem finde ich diese Lösung nicht sonderlich "gut", aber die Entscheidung liegt ganz bei dir.

Also wenn es bessere Lösungsansätze gibt ist das natürlich schon gut
Die Kunden wären Firmen mit >100 Mitarbeitern, insofern geh ich mal davon aus, dass statische IPs vorhanden sind. Hab aber auch zu wenig Überblick über die technische Infrastruktur der jeweiligen Firmen, also ist das eher eine Vermutung. Momentan wäre im Konzept der Austausch eines Secrets vorgesehen, falls es keine statische IP ist.


Kann nicht zu genau auf das Konzept eingehen, aber ich versuch mal die Rahmenbedingungen zu schildern:

Die Authentifizierung darf auf keinen Fall via Login/Passwort geschehen und sollte möglichst wenig Aufwand auf Seiten des Kunden bedeuten. Auf meiner Seite wäre ein Zertifikat vorhanden, was für Möglichkeiten/Rahmenbedingungen auf Seiten der Kunden vorhanden ist kann ich noch nicht sagen. Daher wären Fallback-Varianten interessant. Die Version mit der IP Authentifizierung war fürs erste relativ einfach umzusetzen. Wenn die Lösung nicht optimal ist freu ich mich natürlich über bessere Welche Vorteile würden da etwa Zertifikate bringen?

Der Chat soll über das Intranet erreichbar sein, jedoch auf einem externen Server ablaufen. Die Verbindung muss also verschlüsselt und sicher sein. Zudem sollte ausschließlich der Webbrowser zum Einsatz kommen. Authentifiziert wird nur die jeweilige Firma, nicht der einzelne Teilnehmer/Benutzer

Nice
Grundsätzlich möchte ich natürlich so viele verschiedene Authentifizierungsmethoden wie möglich anbieten. Welche dann beim jeweiligen Kunden zum Einsatz kommt hängt dann eigentlich von deren IT-Abteilung ab.
Wenn ich dein Szenario richtig verstanden habe liegt der "lokale Chatserver" eigentlich innerhalb des Kunden-IT? Für mich ist es schwer abzuschätzen wie die Wünsche der IT-Abteilung konkret aussehen werden, weshalb ich versuche verschiedene Szenarien abdzudecken.

Für die einzelnen User ist keine Anmeldung vorgesehen. Der Chat soll vor allem "abhörsicher" sein im Sinne, dass keine Inhalte nach außen dringen. Ob ein Hacker mitchattet oder nicht ist eigentlich vernachlässigbar

Kann hier nicht so genau ins Detail gehen, wenn ich dir aber mal eine PM schreiben dürfte freu ich mich natürlich Gerade die Sache mit Zertifikaten ist für mich Neuland.

Ist gut möglich mit entsprechender Hardware alles über einen einzigen Server laufen zu lassen, so wie Denne sagt. Allerdings sollten die jeweiligen Firmen dann auch Backupleitungen haben, weil sonst der Internetanschluss schnell zum single point of failure wird.