5

Me encuentro con un problema que no sé como resolver y no encuentro nada al respecto. Imaginaos que tengo las siguientes rutas en una aplicación express :

// app.js
app.use('/users', require('./routes/users'));

// routes/users.js
router.use(accesoExterno);
router.route('/login').get(...).post(...).put(...)
...

En la base de datos, debe exisitir una columna accesoExterno de tipo boolean que diga si el usuario tiene privilegios para acceder de "forma externa", es decir, que no esté conectado a la red desde donde lanzo el servidor.

¿Qué debería hacer en el middleware accesoExterno para realizar esta comprobación?

function accesoExterno(req, res, next){
  //PSEUDO-CODE
  db.users.get('accesoExterno')
  .then( tieneAcceso => {
    if(!tieneAcceso){
      // Si no tiene acceso comprobar que está conectado a la misma red
    }
  })
}

EDIT

Cosas que he probado:

  • req.host -> Me devuelve el host. Puedo comprobar si se está ejecutando desde "localhost", lo cual sería una opción. Pero ¿y si entra por medio de "127.0.0.1" o directamente desde la IP?
  • req.ip -> Creo que esto me valdría, ya que si estoy conectado a mi red, me devuelve la IP de mi red, si no me devuelve ¿La IP de mi dispositivo?

Cualquier aclaración a mis dudas me sería de gran ayuda.

5
  • Cuándo dices fuera de la red, ¿te refieres accediendo desde Internet? ¿U otra división dentro de tu red interna? ¿Ambos?
    – El Asiduo
    Commented el 13 sept. 2016 a las 17:25
  • @El_Asiduo Me refiero a que esté conectado a mi red wifi para poder acceder, que es donde tengo mi puerto redireccionado al servidor node local. De forma que alguien que no esté conectado a mi "red wifi" no pueda entrar o necesite privilegios en la base de datos. Siento que me falta algo de terminología en esto para expresarme correctamente. Commented el 13 sept. 2016 a las 17:46
  • ¿Y cómo accedería si no está conectado a tu red WiFi? No me queda claro ese punto.
    – El Asiduo
    Commented el 13 sept. 2016 a las 18:13
  • A ver, creo que me estoy explicando mal. Mi aplicación node se está sirviendo "al exterior" por medio de la redirección de un puerto de mi router. Y lo que necesito es restringir el acceso a determinadas rutas si no estás conectado a mi "wifi", para hacer una especie de administración de la aplicación a la que sólo pueda acceder de forma local, a no ser q lo permita dicho parámetro en la base de datos accesoExterno = true.Osea a parte de estar autenticado el usuario debe estar conectado a mi wifi. Commented el 13 sept. 2016 a las 18:21
  • 1
    @JoseHermosillaRodrigo Esta es una buena pregunta pero debo comentar que la solución no es infalible ya que las cabeceras X-Forwarded-For pueden ser falsificadas.
    – devconcept
    Commented el 13 sept. 2016 a las 18:22

1 respuesta 1

3

El valor de req.ip te da el "supuesto" valor del ip del usuario que hace la petición. Si unes eso con la propia configuración de tu equipo puedes determinar si pertenece al mismo rango ip que tu.

Para determinar tu propia configuración puedes usar el módulo nativo os con la función os.networkInterfaces

De aquí en adelante solo te queda iterar en los valores y comprobar si al menos uno de ellos coincide con el de tu servidor. La función middleware sería algo así.

var os = require('os');
var ip = require('ip'); 

function accesoExterno(req, res, next){
    //PSEUDO-CODE
    db.users.get('accesoExterno').then( tieneAcceso => {
        if(!tieneAcceso) {
            if (inRange(req.ip)) {
                next();
            } else {
                res.status(401).send('Unauthorized');
            }
       }
    });
}

function inRange(currentIp) {
    // Obtengo la lista de interfaces
    var interfaces = os.networkInterfaces();

    for (var interf in interfaces) {
        // Interfaces es un objeto donde las llaves son el nombre del adaptador
        // El contenido es un arreglo de direcciones ip asignadas al adaptador
        // Pueden haber varias
        var currentInterface = interfaces[interf];

        for (var j = 0; j < currentInterface.length; j++) {
            // Es true si es 127.0.0.1 o similar. 
            if (!currentInterface[j].internal) {
                // Creamos la subnet para calcular
                var subnet = ip.subnet(currentInterface[j].address, currentInterface[j].netmask);
                // Si se encuentra al menos una coincidencia abortamos el ciclo retornando true
                if (subnet.contains(currentIp)) {
                     return true;
                }
            }
        }
    }

    // Si no se ha encontrado nada devolvemos false
    return false;
}

En el ejemplo he usado el modulo ip que trae algunas herramientas muy convenientes para el manejo de ip y subredes.

Puedes leer más información sobre este proceso en el artículo de la Wikipedia

https://en.wikipedia.org/wiki/Subnetwork

Ten en cuenta que req.ip puede no funcionar si la configuración trust-proxy está puesta en false y que este valor puede ser falsificado por el usuario o cualquiera de los proxys en la cadena.

7
  • Muchas gracias por tus respuestas! Son la leche!! Aún no lo he probado, pero tiene buena pinta. En realidad, lo estoy probando en mi casa y mi IP es dinámica, pero este proyecto es para un ayuntamiento y estoy empezando en el proyecto. La cosa es que me fijé y ellos ya tienen hecho esto, no sé como, en PHP (Tendré que preguntar). Yo estoy moviendo todo a un servidor node/express y quería saber como podía hacerse. Existe alguna medida de seguridad que prevenga que sean modificadas las cabeceras que comentas? Commented el 13 sept. 2016 a las 20:17
  • 1
    @JoseHermosillaRodrigo. Yo lo debo probar aún. No tengo node ahora pero si encuentro un bug edito y lo corrijo enseguida. La solución sería muy similar. Técnicamente es imposible prevenir que te editen las cabeceras ya que estas pueden NO haberse originado desde un navegador y tu server no tiene manera de distinguir la diferencia. Incluso aunque tu proxy esté seguro y el usuario usando navegador no puedes garantizar que alguno de los proxys de la cadena halla sido comprometido. Es sólo una barrera de seguridad, pero como todas no es infalible.
    – devconcept
    Commented el 13 sept. 2016 a las 20:24
  • Muchas gracias por las aclaraciones!! Voy a probarlo y te comento!! =) Commented el 13 sept. 2016 a las 20:28
  • Buenas @devconcept, lo he probado y no me acaba de funcionar, resulta que ip.subnet(...).contains(...) me devuelve true siempre, incluso cuando no estoy conectado a mi red. Los valores de la ip, por si son relevantes, cuando hago una petición desde mi propio ordenador con el navegador : ::ffff:127.0.0.1, cuando lo realizo desde mi dispositivo móvil conectado a mi red: ::ffff:84.126.XXX.XX (La ip de mi router) y cuando lo hago desde mi móvil sin estar conectado a mi red: ::ffff:47.60.XX.XXX (Que no estoy seguro de qué es, supongo que es una dirección q se asigna a mi dispositivo) Commented el 14 sept. 2016 a las 13:42
  • @JoseHermosillaRodrigo En un par de horas hago pruebas y te confirmo
    – devconcept
    Commented el 14 sept. 2016 a las 14:00

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.