Protección Microsoft VPN (RRAS) contra fuerza bruta

La servicio de Enrutamiento y acceso remoto (RRAS) permite a los usuarios remotos conectarse a una red privada mediante una VPN de Windows Server. Un servidor VPN expuesto a Internet también recibe conexiones no deseadas. Herramientas automatizadas prueban numerosas credenciales sin descanso y llenan los registros de fallos.

La VPN cifra la conexión, pero los intentos de adivinar contraseñas siguen llegando a la autenticación. Los fallos repetidos generan tráfico y eventos que, de otro modo, el administrador tendría que revisar y bloquear manualmente.

En Event Viewer, Windows Logs, System, los rechazos de RRAS pueden aparecer como eventos ID 20271 de RemoteAccess. Los intentos repetidos pueden generar una sucesión de eventos:

Date and time             Event ID       Source             Level
2024-01-19 16:48:45       20271          RemoteAccess       Warning
2024-01-19 16:48:44       20271          RemoteAccess       Warning
2024-01-19 16:48:42       20271          RemoteAccess       Warning

El evento seleccionado contiene el usuario utilizado, la IP de origen y el motivo del fallo:

Log Name:  System
Source:    RemoteAccess
Event ID:  20271
Level:     Warning
Logged:    1/19/2024 4:48:45 PM

Description:
The user admin connected from 34.237.68.111 but failed an authentication attempt due to the following reason:

The connection was prevented because of a policy configured on your RAS/VPN server. Specifically, the authentication method used by the server to verify your username and password may not match the authentication method configured in your connection profile. Please contact the Administrator of the RAS server and notify them of this error.

Otro mensaje habitual indica credenciales desconocidas o un protocolo no permitido:

The user vpn connected from 68.69.184.82 but failed an authentication attempt due to the following reason: The remote connection was denied because the user name and password combination you provided is not recognized, or the selected authentication protocol is not permitted on the remote access server.

Una advertencia aislada puede deberse a un error de escritura o a un cliente mal configurado. Los fallos repetidos con numerosos usuarios son un indicio habitual de intentos automatizados de adivinar contraseñas. También consumen recursos de autenticación y ocultan eventos útiles entre miles de fallos.

RdpGuard supervisa RemoteAccess 20271 en el registro System y IPsec 4652 en el registro Security. Lee la IP de origen de cada fallo compatible y cuenta las detecciones. Al alcanzar el umbral configurado, bloquea la dirección durante el periodo elegido y la desbloquea automáticamente después.

Usted controla el umbral y la duración. Puede permitir IP de confianza, excluir eventos específicos y recibir notificaciones por correo o Telegram. El bloqueo automático reduce los intentos repetidos y le permite definir la política de acceso.

Consulte Habilitar y configurar la protección Microsoft VPN (RRAS) para conocer los pasos, los registros necesarios y ejemplos de exclusión.