Blocage GeoIP avec RdpGuard

• Présentation du blocage GeoIP
• Activer le blocage GeoIP
• Bloquer certains pays
• Autoriser certains pays
• Autoriser des adresses et plages IP précises
• Paramètres GeoIP avancés
• Restrictions et limites connues

GeoIP permet de refuser l'accès depuis certains pays ou de l'autoriser uniquement depuis les pays sélectionnés. Les plages IP des pays sont mises à jour automatiquement.

Utilisez les paramètres GeoIP avancés pour appliquer ces restrictions à tous les ports ou seulement à certains ports du serveur Windows.

1. Cliquez sur Outils, Options :

   

2. Dans Options, sélectionnez l'onglet GeoIP et cochez Activer GeoIP :

   

3. Choisissez de bloquer certains pays ou d'autoriser certains pays, puis suivez les étapes du mode choisi.

En mode Refus, GeoIP bloque les pays sélectionnés sans restreindre les autres.

1. Sélectionnez Bloquer les connexions des pays sélectionnés :

   

2. Cliquez sur Ajouter.

   La boîte de dialogue Ajouter des pays s'ouvre :

   

3. Sélectionnez les pays à bloquer et cliquez sur Ajouter.

4. Cliquez sur Enregistrer dans Options pour appliquer les modifications.

En mode Autorisation, GeoIP autorise les pays sélectionnés et bloque les autres. Vous pouvez ajouter des adresses et plages IP précises comme exceptions.

1. Sélectionnez Autoriser les connexions uniquement depuis les pays sélectionnés :

   

2. Cliquez sur Ajouter, Pays autorisé.

   La boîte de dialogue Ajouter des pays s'ouvre :

   

3. Sélectionnez les pays à autoriser et cliquez sur Ajouter.

4. Cliquez sur Enregistrer dans Options pour appliquer les modifications.

Le Mode test applique les restrictions par pays jusqu'au prochain redémarrage. Redémarrer l'ordinateur retire ces restrictions GeoIP temporaires. Les autres règles du pare-feu et de RdpGuard restent applicables.

En mode Autorisation, ajoutez les adresses, plages ou CIDR à autoriser indépendamment des pays sélectionnés. Ces entrées contournent les restrictions géographiques, mais peuvent encore être bloquées par la protection contre les échecs de connexion ou la liste noire.

Pour exclure une adresse de confiance du blocage RdpGuard, utilisez la liste blanche.

1. Cliquez sur Ajouter, Adresse ou plage autorisée :

   

2. La boîte de dialogue Ajouter des adresses IP s'ouvre :

   

   Saisissez les adresses ou plages, une par ligne, et cliquez sur Ajouter.

3. Les entrées apparaissent sous Liste d'autorisation personnalisée :

   

   Cliquez sur Enregistrer pour appliquer les modifications.

Dans l'onglet GeoIP, cliquez sur Paramètres :

La boîte de dialogue Paramètres GeoIP avancés contient trois onglets : Mode de refus, Mode d'autorisation et Divers.

Mode de refus

L'onglet Mode de refus définit les ports bloqués pour les pays de la liste de refus.

Portée du blocage - Choisissez les ports interdits aux pays bloqués :

• Bloquer tous les ports - Interdit l'accès depuis les pays bloqués à tous les ports du serveur.
• Bloquer tous les ports sauf ceux indiqués - Interdit l'accès à tous les ports sauf ceux de la liste.
• Bloquer uniquement les ports indiqués - Interdit l'accès depuis les pays bloqués uniquement aux ports de la liste.

Séparez les ports par des virgules, par exemple : 3389,443.

Mode d'autorisation

L'onglet Mode d'autorisation définit les ports accessibles depuis les pays autorisés et ceux bloqués pour les autres pays en mode Autorisation.

Règles d'autorisation - Choisissez les ports accessibles depuis les pays autorisés :

• Autoriser l'accès à tous les ports - Autorise les connexions des pays autorisés vers tous les ports.
• Autoriser l'accès uniquement aux ports indiqués - Autorise ces connexions seulement vers les ports de la liste.

Autres connexions - Choisissez les ports interdits aux pays hors de la liste autorisée :

• Bloquer tous les ports - Interdit tout accès depuis les pays non autorisés.
• Bloquer tous les ports sauf ceux indiqués - Interdit l'accès depuis les pays non autorisés à tous les ports sauf ceux de la liste.

Séparez les ports par des virgules, par exemple : 3389,443.

Exceptions et réseaux spéciaux - Options supplémentaires du mode Autorisation :

• Autoriser les connexions de bouclage (recommandé) - Autorise les connexions internes à cet ordinateur. Désactiver cette option peut perturber les applications.
• Autoriser les connexions du réseau local - Autorise l'accès au serveur par le réseau local.
• Exclure les réseaux VPN et les nœuds de sortie Tor des connexions autorisées - Retire les réseaux VPN connus et les sorties Tor des plages IP autorisées.
• Exclure les réseaux de centres de données des connexions autorisées - Retire les réseaux de centres de données connus des plages IP autorisées.

Divers

L'onglet Divers contient les paramètres de la base GeoIP :

Deux versions de la base GeoIP sont disponibles :

• Lite - Moins de plages IP, charge système réduite, précision moindre.
• Max - Plus de plages IP, charge système accrue, meilleure précision.

Cliquez sur OK, puis sur Enregistrer dans Options pour appliquer les modifications.

Le filtrage GeoIP ajoute les plages IP des pays à Windows Filtering Platform (WFP). Un pays peut contenir des milliers de plages. Une configuration volumineuse augmente la consommation de mémoire et de processeur, ralentit les mises à jour des règles et peut affecter les performances réseau.

Évitez le filtrage par port avec de longues listes de pays.

Avec des ports sélectionnés, RdpGuard crée des filtres TCP et UDP distincts pour chaque port. La liste des IP des pays est répétée dans chaque ensemble :

Filtrer moins de ports ne signifie pas moins de règles de pare-feu. Cette multiplication concerne les pays bloqués comme les pays autorisés. L'option "Tous les ports sauf ceux indiqués" crée aussi des filtres supplémentaires pour les plages de ports restantes.

Pour limiter la taille de la configuration :

• Envisagez la base Lite comme compromis de performances. Elle utilise moins de plages IP, mais identifie les pays moins précisément. Certaines adresses peuvent donc être bloquées ou autorisées à tort. Utilisez-la seulement si la faible consommation de ressources prime sur la précision géographique.
• Préférez Tous les ports lorsque cela répond à vos besoins d'accès.
• Si seuls quelques pays doivent accéder au serveur, envisagez le mode Autorisation au lieu de bloquer une longue liste de pays.

Testez les grandes configurations avec un trafic représentatif avant leur mise en production. Si les performances se dégradent après activation de GeoIP ou ajout de restrictions de ports, réduisez la configuration et testez à nouveau avant de l'étendre.