Ограничение домена IIS 7.5 работает, но не IP
У нас есть веб-сервис, к которому мы пытаемся наложить ограничения доступа в производственной среде. Эта веб-служба находится на внутреннем сервере в локальной сети. Он вызывается из веб-приложений, находящихся на одном сервере, и веб-приложений, находящихся на сервере DMZ. Это единственные два места, где мы хотим предоставить доступ к этой услуге. I.E. Localhost (127.0.0.1 IP) и IP-адрес сервера DMZ.
В IIS 7.5 я установил параметр функции на Deny для неуказанных клиентов. Затем введены две разрешающие записи, похожие на:
%windir%\system32\inetsrv\appcmd.exe set config "Default Web Site" -section:system.webServer/security/ipSecurity /+"[ipAddress='127.0.0.1',allowed='True']" /commit:apphost
С двумя IP-адресами. Для фактического сервера я пробовал 127.0.0.1 и фактический IP-адрес сервера - ни то, ни другое не имело значения. Я также ввел их через командную строку и через диспетчер IIS. Опять же, ни то, ни другое не имело значения.
Эта настройка разрешала доступ из DMZ, но не с локального хоста.
Однако, если я поставлю флажок Enable domain name restrictions, сделайте обратный поиск с помощью nslookup используя IP-адрес сервера и добавьте разрешающую запись для этого домена. Тогда это работает. Однако, как указано в предупреждении, когда вы устанавливаете этот флажок, это гораздо более дорогостоящий вариант, так как каждый входящий запрос требует обратного просмотра.
Это все HTTPS-вызовы веб-службы, если это важно, но я не подозреваю, что это так.
Должно быть, я что-то делаю не так, но я просто не знаю? Любая помощь приветствуется.
Просто используйте Windows-Firewall, чтобы настроить, кому разрешено подключаться.
- Установите для IIS значение по умолчанию и снимите все ограничения
- Убедитесь, что входящий трафик для порта 80 или сервера IIS не разрешен.
- Создайте правило FW для IP-адреса DMZ.
https://www.howtogeek.com/112564/how-to-create-advanced-firewall-rules-in-the-windows-firewall/
Возможно, вы захотите отредактировать свой привязки, а не безопасность IP IIS. В настройках безопасности определяется от где запросу разрешено приходить, существуют привязки, чтобы сообщить сайту, на какие запросы (имена, адреса, протоколы, порты ...) отвечать. Мне кажется, вы хотите разрешить запросы только для двух IP-адресов для вашего сайта.
Щелкните свой сайт (например, «Веб-сайт по умолчанию» из вашего вопроса) и «Привязки» справа. Здесь вы можете настроить каждую привязку: 
(извините за мои немецкие окна)
вы также можете сделать это в командной строке:
appcmd add site /name:WEBSITENAME /physicalpath:C:\inetpub\WEBSITENAME /bindings:https/<DMZ-IP>:<PORT>: