Acesse o IIS hospedado internamente com a autenticação do Windows da Internet

Question

Eu tenho o aplicativo da Web .NET em execução no IIS por trás do firewall.
O aplicativo está usando a autenticação do Windows (NTLM) para autenticar usuários.
Eu preciso tornar este aplicativo acessível da Internet para que:

• Quando o usuário tenta acessar o aplicativo, o formulário de login é exibido, gerado por [Proxy reverso].
• O usuário insere login e senha e envia o formulário.
• [Proxy reverso] associa credenciais externas a credenciais do Windows, estamos Ok para armazenar logins e senhas de domínio do Windows em alguns bancos de dados.
• [Proxy reverso] fornece acesso ao aplicativo da web usando as credenciais fornecidas.

Para ser claro, eu não quero passar NTLM para o usuário, eu preciso [Reverse Proxy] para falar com IIS no behalve do usuário em seu lugar. O usuário pode inserir credenciais diferentes, usar outro tipo de autenticação (Google, FB, etc.) e o [Proxy reverso] corresponderá a uma conta externa a uma interna. Por exemplo. os funcionários configuram contas externas que desejam usar para acessar o portal da intranet.

Quais são minhas opções?
Posso usar o Nginx ou o Squid para implementar esse cenário com a ajuda de módulos / plug-ins customizados?

    

Answer 1

Parece quase que SAML ou oOth seria uma boa opção para você. Você já olhou para esse caminho? Normalmente é usado para delegar credenciais de outros sites, mas também deve funcionar para sites internos. Você provavelmente teria que construir um front end customizado na sua DMZ.

    

Answer 2

O fato de você querer que seu proxy reverso faça isso complica um pouco. Não conheço nenhum software proxy que faça isso, mas alguns dispositivos VPN junipers oferecem uma interface web que não só permite aos usuários iniciar uma conexão VPN, mas também pode ser usada como tal proxy, na verdade, após o usuário ser autenticado na interface da Web do appliance VPN.

    

Answer 3

Não é uma boa ideia usar um proxy reverso para esse objetivo. A Autenticação do Windows destina-se a ser usada apenas em um aplicativo de intranet. Existem muitas razões pelas quais você não quer isso, algumas delas podem ser encontradas aqui . O mais importante é que você está abrindo caminho da sua DMZ para sua rede interna, que pode ser abusada por hackers.

Você deve usar uma VPN para adquirir a meta que está procurando. Aqui é uma lista de softwares VPN gratuitos. Meu favorito pessoal é o OpenVPN.

Outra possibilidade é usar a Autenticação de Formulário no aplicativo da Web e usar credenciais separadas para que seus usuários façam logon no aplicativo da Web.