Bloqueo GeoIP con RdpGuard

• Acerca del bloqueo GeoIP
• Habilitar el bloqueo GeoIP
• Bloquear determinados países
• Permitir determinados países
• Permitir direcciones y rangos IP específicos
• Configuración avanzada de GeoIP
• Restricciones y limitaciones conocidas

GeoIP permite denegar el acceso desde determinados países o permitirlo solo desde los países seleccionados. Los rangos IP de los países se actualizan automáticamente.

Utilice la configuración avanzada de GeoIP para aplicar estas restricciones a todos los puertos o solo a determinados puertos del servidor Windows.

1. Haga clic en Herramientas, Opciones :

   

2. En Opciones, seleccione la pestaña GeoIP y marque Activar GeoIP :

   

3. Elija bloquear determinados países opermitir determinados paísesy siga los pasos del modo elegido.

En modo Denegar, GeoIP bloquea los países seleccionados sin restringir los demás.

1. Seleccione Bloquear conexiones de los países seleccionados :

   

2. Haga clic en Añadir.

   Se abre el cuadro de diálogo Añadir países :

   

3. Seleccione los países que desea bloquear y haga clic en Añadir.

4. Haga clic en Guardar en Opciones para aplicar los cambios.

En modo Permitir, GeoIP permite los países seleccionados y bloquea los demás. Puede añadir direcciones y rangos IP específicos como excepciones.

1. Seleccione Permitir conexiones solo desde los países seleccionados :

   

2. Haga clic en Agregar, País permitido.

   Se abre el cuadro de diálogo Añadir países :

   

3. Seleccione los países que desea permitir y haga clic en Añadir.

4. Haga clic en Guardar en Opciones para aplicar los cambios.

La Modo de prueba aplica las restricciones por país hasta el siguiente reinicio. Reiniciar el equipo retira estas restricciones temporales de GeoIP. Las demás reglas del firewall y de RdpGuard siguen aplicándose.

En modo Permitir, añada las direcciones, rangos o CIDR que desea permitir independientemente de los países seleccionados. Estas entradas evitan las restricciones geográficas, pero aún pueden ser bloqueadas por la protección contra inicios de sesión fallidos o por la lista negra.

Para excluir una dirección de confianza del bloqueo de RdpGuard, utilice la lista blanca.

1. Haga clic en Agregar, Dirección o rango permitido :

   

2. Se abre el cuadro de diálogo Añadir direcciones IP :

   

   Introduzca las direcciones o rangos, uno por línea, y haga clic en Añadir.

3. Las entradas aparecen en Lista de permiso personalizada :

   

   Haga clic en Guardar para aplicar los cambios.

En la pestaña GeoIP, haga clic en Configuración :

Se abre el cuadro de diálogo Configuración avanzada de GeoIP contiene tres pestañas: Modo de bloqueo, Modo de permiso y Varios.

Modo de bloqueo

La pestaña Modo de bloqueo define los puertos bloqueados para los países de la lista de denegación.

Alcance del bloqueo - Elija los puertos no accesibles para los países bloqueados:

• Bloquear todos los puertos - Impide el acceso desde los países bloqueados a todos los puertos del servidor.
• Bloquear todos los puertos excepto los indicados - Impide el acceso a todos los puertos excepto los de la lista.
• Bloquear solo los puertos indicados - Impide el acceso desde los países bloqueados solo a los puertos de la lista.

Separe los puertos con comas, por ejemplo: 3389,443.

Modo de permiso

La pestaña Modo de permiso define los puertos accesibles desde los países permitidos y los bloqueados para los demás países en modo Permitir.

Reglas de permiso - Elija los puertos accesibles desde los países permitidos:

• Permitir acceso a todos los puertos - Permite conexiones desde los países permitidos a todos los puertos.
• Permitir acceso solo a los puertos indicados - Permite estas conexiones solo a los puertos de la lista.

Otras conexiones - Elija los puertos no accesibles para los países fuera de la lista permitida:

• Bloquear todos los puertos - Impide todo acceso desde los países no permitidos.
• Bloquear todos los puertos excepto los indicados - Impide el acceso desde los países no permitidos a todos los puertos excepto los de la lista.

Separe los puertos con comas, por ejemplo: 3389,443.

Excepciones y redes especiales - Opciones adicionales del modo Permitir:

• Permitir conexiones de bucle invertido (recomendado) - Permite conexiones internas a este equipo. Deshabilitar esta opción puede afectar a las aplicaciones.
• Permitir conexiones de la red local - Permite acceder al servidor desde la red local.
• Excluir las redes VPN y los nodos de salida de Tor de las conexiones permitidas - Retira las redes VPN y las salidas Tor conocidas de los rangos IP permitidos.
• Excluir las redes de centros de datos de las conexiones permitidas - Retira las redes de centros de datos conocidas de los rangos IP permitidos.

Varios

La pestaña Varios contiene la configuración de la base de datos GeoIP:

Hay dos versiones de la base de datos GeoIP disponibles:

• Lite - Menos rangos IP, menor carga del sistema y menor precisión.
• Max - Más rangos IP, mayor carga del sistema y mayor precisión.

Haga clic en Aceptary después en Guardar en Opciones para aplicar los cambios.

El filtrado GeoIP añade los rangos IP de los países a Windows Filtering Platform (WFP). Un país puede contener miles de rangos. Una configuración grande aumenta el consumo de memoria y CPU, ralentiza las actualizaciones de reglas y puede afectar al rendimiento de la red.

Evite el filtrado por puerto con listas de países largas.

Con puertos seleccionados, RdpGuard crea filtros TCP y UDP independientes para cada puerto. La lista de IP de los países se repite en cada conjunto:

Filtrar menos puertos no significa tener menos reglas de firewall. Esta multiplicación afecta tanto a los países bloqueados como a los permitidos. La opción "Todos los puertos excepto los indicados" también crea filtros adicionales para los rangos de puertos restantes.

Para limitar el tamaño de la configuración:

• Considere la base de datos Lite como opción para mejorar el rendimiento. Utiliza menos rangos IP, pero identifica los países con menor precisión. Por ello, algunas direcciones pueden bloquearse o permitirse incorrectamente. Utilícela solo si el menor consumo de recursos prima sobre la precisión geográfica.
• Prefiera Todos los puertos cuando se ajuste a sus necesidades de acceso.
• Si solo deben acceder al servidor unos pocos países, considere el modo Permitir en lugar de bloquear una lista extensa de países.

Pruebe las configuraciones grandes con tráfico representativo antes de ponerlas en producción. Si el rendimiento empeora al habilitar GeoIP o añadir restricciones de puertos, reduzca la configuración y vuelva a probar antes de ampliarla.