Ограничение доступа к определенным URL-адресам в webapp, запущенном на Tomcat (6.0.x)

Question

Привет, моя новая проблема заключается в следующем: у меня есть веб-приложение, работающее на Tomcat 6.0.x, оно находится за обратным прокси-сервером Apache HTTPD, есть другие (http://bla.com/ограничено/stuff/...), в то время как пользователи (которые подключаются с интернет-стороны обратного прокси) и другие компьютеры не могут ссылаться на эти веб-службы методы, предпочтительно даже не знать, что они существуют.

1. Ну, я знаю, что я мог бы использовать RemoteAddrFilter и фильтровать IP, и, хотя это пародия-возможности это может быть «достаточно близко», но, к сожалению, я застрял с версии 6 Tomcat.
2. Если бы у меня была полная свобода, я мог бы настроить эту службу на другом порту, а затем просто использовать iptables для ее ограничения, но, к сожалению, это должен быть тот же экземпляр Tomcat и того же веб-приложения, и я не знаком с тем, как ограничить разъем для определенных областей в веб-приложении.
3. Приложение управляет собственной системой безопасности, которая не может использоваться для аутентификации «вызывающей машины» по «историческим» причинам, в которой сказано, что создание нескольких ограничений безопасности прекрасен, но specification здесь говорит, что можно иметь только один элемент login-config, поэтому даже если я напишу другое ограничение для ограниченных URL-адресов, я не смогу заблокировать его, требуя, например, сертификата пользователя (таким образом, идентифицируя вызывающую машину), потому что у меня уже есть login-config.

Это скорее вопрос «как это сделать лучше», а не «Я не знаю, как это сделать», потому что есть много хакерских способов настроить это, но мы не хотим проскальзывать теперь мы темной стороной?

Должен сказать, что я попытался исследовать предмет, но я не нашел каких-либо очевидных решений, и все же, если бы я пропустил что-то элегантное и очевидное, я буду более счастлив услышать об этом (нетривиальные решения тоже очень приветствуются :)), так что спасибо за любые идеи.

Answer 1

Возможно ли, что машины, которым необходимо вызвать «ограниченную» службу, сделать это, поговорив непосредственно с сервисом tomcat по адресу http://example.internal:8080/restricted, а не используя обратный прокси? Если это так, самым простым методом было бы установить прокси-сервер, чтобы он вообще не проходил через ограниченные URI, что сделало бы невозможным доступ к ним внешним абонентам.