Microsoft-VPN-(RRAS)-Schutz vor Brute-Force-Angriffen

Microsofts Routing- und RAS-Dienst (RRAS) ermöglicht Remotebenutzern den Zugriff auf ein privates Netzwerk über ein Windows-Server-VPN. Ein öffentlich erreichbarer VPN-Server erhält auch Verbindungen von Personen ohne Zugriffsberechtigung. Automatisierte Werkzeuge probieren Benutzernamen und Passwörter wiederholt aus und füllen Windows-Ereignisprotokolle mit fehlgeschlagenen Authentifizierungsversuchen.

Ein VPN verschlüsselt die Verbindung, doch Passwortversuche erreichen weiterhin den Anmeldevorgang. Wiederholte Fehler erzeugen Authentifizierungsverkehr und zahlreiche Protokolleinträge, die Administratoren sonst manuell untersuchen und sperren müssten.

Im Protokoll Ereignisanzeige, Windows-Protokolle, System können abgewiesene RRAS-Authentifizierungsversuche als Ereignis-ID 20271 mit der Quelle RemoteAccess erscheinen. Bei wiederholten Verbindungsversuchen können diese Warnungen unmittelbar aufeinanderfolgen:

Date and time             Event ID       Source             Level
2024-01-19 16:48:45       20271          RemoteAccess       Warning
2024-01-19 16:48:44       20271          RemoteAccess       Warning
2024-01-19 16:48:42       20271          RemoteAccess       Warning

Das ausgewählte Ereignis enthält den verwendeten Benutzernamen, die Quell-IP-Adresse und den Fehlergrund:

Log Name:  System
Source:    RemoteAccess
Event ID:  20271
Level:     Warning
Logged:    1/19/2024 4:48:45 PM

Description:
The user admin connected from 34.237.68.111 but failed an authentication attempt due to the following reason:

The connection was prevented because of a policy configured on your RAS/VPN server. Specifically, the authentication method used by the server to verify your username and password may not match the authentication method configured in your connection profile. Please contact the Administrator of the RAS server and notify them of this error.

Eine weitere häufige Meldung betrifft eine unbekannte Kombination von Benutzername und Passwort oder ein nicht zugelassenes Protokoll:

The user vpn connected from 68.69.184.82 but failed an authentication attempt due to the following reason: The remote connection was denied because the user name and password combination you provided is not recognized, or the selected authentication protocol is not permitted on the remote access server.

Eine einzelne Warnung kann durch einen Tippfehler oder einen falsch konfigurierten VPN-Client entstehen. Wiederholte Fehler bei vielen Benutzernamen sind ein typisches Anzeichen automatisierter Passwortversuche. Anhaltende Versuche beanspruchen außerdem Authentifizierungsressourcen und erschweren es, nützliche Ereignisse unter Tausenden fehlgeschlagener Verbindungen zu finden.

RdpGuard überwacht RemoteAccess-Ereignis 20271 im Systemprotokoll und IPsec-Ereignis 4652 im Sicherheitsprotokoll. Es liest die Quell-IP-Adresse aus jedem unterstützten Fehlerereignis und zählt Erkennungen für diese Adresse. Sobald die konfigurierte Grenze erreicht ist, sperrt RdpGuard die Adresse für die eingestellte Dauer und entsperrt sie nach deren Ablauf automatisch.

Sie bestimmen die Grenze fehlgeschlagener Anmeldungen und die Sperrdauer. Außerdem können Sie vertrauenswürdige IP-Adressen in die Whitelist aufnehmen, eng definierte VPN-Ereignisse ausschließen und E-Mail- oder Telegram-Benachrichtigungen beim Sperren einer IP erhalten. Automatische Sperren reduzieren wiederholte Versuche derselben Quellen, während Sie die Zugriffsrichtlinie des Servers bestimmen.

Siehe Microsoft-VPN-(RRAS)-Schutz aktivieren und konfigurieren für Einrichtungsschritte, Anforderungen an Ereignisprotokolle und Ausschlussregeln mit Beispielen.