Règles de blocage avancées

• Vue d'ensemble
• Ouvrir les règles de blocage
• Créer une règle
• Modifier, désactiver et organiser les règles
• Importation et exportation

Les règles avancées permettent de définir des limites par protocole, de bloquer les IP qui essaient certains noms d'utilisateur ou de bloquer un sous-réseau IPv4 après l'activité de plusieurs adresses sources.

Les paramètres de protocole remplacent les paramètres généraux pour le protocole choisi. Les règles de nom d'utilisateur et de sous-réseau complètent les limites normales. Les adresses de la liste blanche restent accessibles, même dans un sous-réseau bloqué.

Cliquez sur Outils, Options pour ouvrir les options.

Dans l'onglet Général, cliquez sur Règles de blocage avancées. La fenêtre des règles s'ouvre :

Cliquez sur Ajouter et choisissez le type de règle. Vous pouvez aussi utiliser le sous-menu Ajouter du menu contextuel du tableau.

Raccourcis : Alt+P - Paramètres du protocole ; Alt+U - Règle de nom d'utilisateur ; Alt+S - Règle de sous-réseau.

Ces champs sont communs aux trois types de règles :

• Nom de la règle: Choisissez un nom unique de 100 caractères maximum pour reconnaître la règle dans la liste.
• Activer la règle: Cochez cette option pour appliquer la règle. Décochez-la pour conserver ses paramètres sans les appliquer.
• Débloquer automatiquement après (heures): Définit la durée du blocage en heures entières, de 1 à 8 760. Elle débute au déclenchement de la règle. Un blocage existant plus long est conservé.

Paramètres du protocole

Choisissez Ajouter, Paramètres du protocole. Cet exemple bloque une IP pendant 24 heures après 5 échecs RDP et réinitialise son compteur RDP après 30 minutes.

• Protocole protégé: Choisissez un protocole protégé. Une seule règle de paramètres est autorisée par protocole, même désactivée.
• Nombre maximal de tentatives de connexion échouées par adresse IP: Chaque IP source a son compteur pour ce protocole. Les autres protocoles ne l'incrémentent pas ; les tentatives pour ce protocole n'incrémentent pas non plus le compteur général partagé.
• Réinitialiser les compteurs d'échecs de connexion après: L'intervalle commence au premier échec. Choisissez des minutes ou des heures, de 1 minute à 999 heures.

Règle de nom d'utilisateur

Choisissez Ajouter, Règle de nom d'utilisateur. Cet exemple bloque une IP lors d'un échec détecté avec root, admin ou test, sans attendre la limite normale de tentatives.

• Le nom d'utilisateur figure dans cette liste: Saisissez un nom exact par ligne, tel que le fournit le moteur de détection. Les caractères génériques ne sont pas pris en charge. Limite : 1 000 noms de 256 caractères maximum chacun.
• Ignorer la casse: Si cette option est cochée, root et ROOT correspondent à la même entrée. Décochez-la pour distinguer les majuscules et minuscules.
• Protocole protégé: Choisissez un protocole ou tous les protocoles protégés. La règle ne peut correspondre qu'aux détections incluant un nom d'utilisateur ; les connexions réussies ne la déclenchent pas.

Règle de sous-réseau

Choisissez Ajouter, Règle de sous-réseau. Cet exemple bloque un sous-réseau /24 lorsque 10 IP sources distinctes y sont détectées au cours des 10 dernières minutes.

• Compter l'activité provenant de: Choisissez les IP avec des échecs de connexion ou celles bloquées après des détections locales. La seconde option ne compte pas IP Cloud, les entrées manuelles de liste noire ni les blocs de plages existants.
• Bloquer le sous-réseau quand le nombre d'IP distinctes atteint: Chaque IP source compte une fois dans la période d'observation. Une seule adresse répétant son activité ne suffit pas à atteindre 10. Le seuil doit être d'au moins 2 et ne pas dépasser le nombre d'adresses du sous-réseau.
• Période d'observation: Une période glissante calculée à partir de l'activité la plus récente de chaque adresse. Choisissez des minutes ou heures, de 1 minute à 999 heures.
• Sous-réseau IPv4 à bloquer: Choisissez /16, /20, /24 ou /28. L'IP source détermine le sous-réseau : 203.0.113.7 appartient à 203.0.113.0/24, soit 256 adresses. Ces règles concernent uniquement IPv4.
• Protocole protégé: Choisissez un protocole protégé ou tous les protocoles protégés. Seules les détections correspondantes contribuent au seuil.

Cliquez sur Enregistrer dans l'éditeur, puis dans la fenêtre des règles, puis dans les options pour appliquer les modifications.

Sélectionnez une règle et cliquez sur Modifier, double-cliquez dessus ou appuyez sur F2. La case de la première colonne active ou désactive la règle. Supprimer supprime les règles sélectionnées.

Utilisez Plus, Monter ou Plus, Descendre pour organiser les lignes sélectionnées. Seul l'ordre d'affichage change : toutes les règles actives correspondantes sont évaluées.

Utilisez Ctrl ou Maj pour sélectionner plusieurs lignes, Ctrl+A pour tout sélectionner, ou tracez un rectangle de sélection, même depuis une zone vide du tableau. Un clic gauche ou droit sur une zone vide annule la sélection.

Plus, Exporter enregistre les règles sélectionnées en JSON. Utilisez d'abord Ctrl+A pour tout exporter. Plus, Importer ajoute des règles d'un fichier JSON à la liste.

L'importation conserve les ID. Des ID, noms ou paramètres de protocole en double sont rejetés sans ajouter une partie du fichier. Supprimez les conflits avant de restaurer le même ensemble. La limite est de 100 règles.

Les commandes CLI des règles de blocage utilisent le même JSON. L'exportation CLI écrit toujours toutes les règles ; l'importation propose append et replace.

• Interface en ligne de commande RdpGuard
• Paramètres de blocage avancés : tous les ports ou ports sélectionnés
• Liste blanche et liste noire
• Aide en ligne RdpGuard