RD-Web-Access-Schutz

• RD-Web-Access-Schutz aktivieren
• Erweiterte Einstellungen

RdpGuard überwacht IIS-Protokolle und Windows-Sicherheitsereignisse, um Brute-Force-Versuche gegen Remote Desktop Web Access zu erkennen. Konfigurieren Sie unten die Protokollerkennung und verwenden Sie die erweiterten Einstellungen, wenn RD Web Access hinter einem Reverse-Proxy betrieben wird.

1. Öffnen Sie RdpGuard-Dashboard und klicken Sie auf RD-WEB unter Überwachte Protokolle.

   

2. Wählen Sie RD-Web-Schutz aktivieren. Lassen Sie die automatische Protokollerkennung aktiviert oder geben Sie den Protokollordner wie unten beschrieben an. Klicken Sie anschließend auf Speichern.

   

Konfiguration des RD-Web-Access-Schutzes

Speicherort der Protokolldateien automatisch erkennen lässt RdpGuard die IIS-Website mit der Anwendung /RDWeb finden und deren Protokollordner verwenden. Wenn die Erkennung fehlschlägt oder Sie einen anderen Ordner benötigen, deaktivieren Sie dieses Kontrollkästchen und geben Sie den Speicherort der IIS-Protokolldateien manuell an.

Wählen Sie den Ordner mit den u_ex*.log Dateien der Website, zum Beispiel C:\inetpub\logs\LogFiles\W3SVC1. Die Zahl nach W3SVC ist die IIS-Website-ID; verwenden Sie den Ordner der Website, auf der RD Web Access ausgeführt wird.

Aktivieren Sie den W3C Protokollierung für die Website mit diesen Feldern: Datum (date), Uhrzeit (time), Client IP Address (c-ip), Method (cs-method), URI Stem (cs-uri-stem) und Benutzername (cs-username).

Aktivieren Sie für die Zuordnung zu Windows-Sicherheitsereignissen die Überwachung fehlgeschlagener Anmeldungen wie beschrieben unter Empfohlene Überwachungsrichtlinien. Prüfen Sie nach dem Speichern Ansicht, Ereignisprotokoll anzeigen im RdpGuard-Dashboard auf Überwachungsfehler.

Klicken Sie auf Erweiterte Einstellungen... in den RD-Web-Einstellungen, um das Dialogfeld Erweiterte HTTP-Einstellungen zu öffnen. Diese Optionen steuern, wie RdpGuard Client-IP-Adressen aus IIS-Protokollen liest.

Client-IP-Adresse aus dem X-Forwarded-For-Feld lesen

Standardmäßig verwendet RdpGuard Client IP Address (c-ip) aus dem IIS-Protokoll. Hinter einem Reverseproxy ist dies üblicherweise die Proxyadresse. Aktivieren Sie diese Option, um stattdessen den protokollierten X-Forwarded-For Wert zu verwenden. Enthält er mehrere Adressen, verwendet RdpGuard die erste.

Konfigurieren Sie Ihren vertrauenswürdigen Proxy so, dass er die tatsächliche Client-IP übermittelt und Clients keine eigene erste Adresse in den Header einschleusen können. Beschränken Sie direkte Zugriffe auf IIS, damit Anfragen den Proxy nicht umgehen. Siehe IIS zum Erkennen der Client-IP hinter einem Proxy konfigurieren für die Einrichtung der IIS-Protokollierung.

Verbindungs-IP-Adresse verwenden, wenn X-Forwarded-For fehlt

Aktivieren Sie diese Option, um c-ip zu verwenden, wenn X-Forwarded-For fehlt. Lassen Sie die Option deaktiviert, wenn alle Anfragen über einen Proxy eintreffen: Der Rückgriff auf die Verbindungsadresse kann dazu führen, dass der Proxy selbst gesperrt wird.

Klicken Sie zuerst auf OK und danach auf Speichern in den RD-Web-Einstellungen, um die Änderungen zu übernehmen.

Anfragen bei Verwendung von X-Forwarded-For sperren

Das Lesen von X-Forwarded-For identifiziert den Client, ändert aber nicht den Ort der Sperrung. Wenn die Verbindung zum Server von einem Reverseproxy stammt, sperrt eine Windows-Firewallregel für die ursprüngliche Client-IP diese Proxyverbindung nicht.

Sperren Sie den Client am Proxy oder verwenden Sie IIS-Einschränkungen für IP-Adressen und Domänen mit Proxymodus und RdpGuard Benutzerdefinierte Aktionen wie unten beschrieben verwenden.

Benutzerdefinierte Aktionen in RdpGuard konfigurieren

Dieses Beispiel fügt IPv4 Sperreinträge für eine IIS-Website hinzu und entfernt sie. Ersetzen Sie RD Web Site in beiden Befehlen durch den Websitenamen aus dem IIS-Manager.

1. Installieren Sie den IIS-Rollendienst IP- und Domäneneinschränkungen , falls er noch nicht installiert ist.
2. Unter IIS-Manager, wählen Sie die Website und öffnen Sie Einschränkungen für IP-Adressen und Domänen, klicken Sie auf Featureeinstellungen bearbeiten... und wählen Sie Proxymodus aktivieren. Dies erfordert IIS 8.0 oder neuer. Siehe die Microsoft-Dokumentation zu IP Security.
3. Starten Sie RdpGuard-Dashboard als Administrator und öffnen Sie Extras, Benutzerdefinierte Aktionen / Benachrichtigungen. Fügen Sie die folgenden beiden Aktionen hinzu.

Aktion IP gesperrt

• Ereignis: IP gesperrt
• Aufgabe: Programm ausführen
• Pfad: C:\Windows\System32\inetsrv\appcmd.exe

Argumente:

set config "RD Web Site" /section:system.webServer/security/ipSecurity /+"[ipAddress='%IP%',allowed='false']" /commit:apphost

Aktion IP entsperrt

• Ereignis: IP entsperrt
• Aufgabe: Programm ausführen
• Pfad: C:\Windows\System32\inetsrv\appcmd.exe

Argumente:

set config "RD Web Site" /section:system.webServer/security/ipSecurity /-"[ipAddress='%IP%']" /commit:apphost

Speichern Sie die Aktionen. Prüfen Sie nach einer durch lokale Erkennung ausgelösten Sperre, ob der Sperreintrag für die ausgewählte IIS-Website erscheint und ob Anfragen dieses Clients über den Proxy abgewiesen werden. Wenn RdpGuard die Adresse entsperrt, entfernt die zweite Aktion den Eintrag.

Diese Aktionen verarbeiten zukünftige IP gesperrt und IP entsperrt Ereignisse lokaler Erkennungen. Sie synchronisieren weder die vorhandene Sperrliste noch Adressen, die ausschließlich gesperrt wurden durch IP Cloud.