Protection Microsoft VPN (RRAS) contre la force brute

Le service Routage et accès distant (RRAS) permet aux utilisateurs distants de se connecter à un réseau privé via un VPN Windows Server. Un serveur VPN exposé à Internet reçoit aussi des connexions indésirables. Des outils automatisés essaient de nombreux identifiants sans relâche et remplissent les journaux d'échecs.

Le VPN chiffre la connexion, mais les essais de mots de passe atteignent toujours l'authentification. Les échecs répétés génèrent du trafic et des événements que l'administrateur devrait sinon examiner et bloquer manuellement.

Dans Observateur d'événements, Journaux Windows, Système, les refus RRAS peuvent apparaître comme événements ID 20271 de RemoteAccess. Des tentatives répétées peuvent les faire se succéder :

Date and time             Event ID       Source             Level
2024-01-19 16:48:45       20271          RemoteAccess       Warning
2024-01-19 16:48:44       20271          RemoteAccess       Warning
2024-01-19 16:48:42       20271          RemoteAccess       Warning

L'événement sélectionné contient l'utilisateur essayé, l'IP source et le motif d'échec :

Log Name:  System
Source:    RemoteAccess
Event ID:  20271
Level:     Warning
Logged:    1/19/2024 4:48:45 PM

Description:
The user admin connected from 34.237.68.111 but failed an authentication attempt due to the following reason:

The connection was prevented because of a policy configured on your RAS/VPN server. Specifically, the authentication method used by the server to verify your username and password may not match the authentication method configured in your connection profile. Please contact the Administrator of the RAS server and notify them of this error.

Un autre message courant indique des identifiants inconnus ou un protocole non autorisé :

The user vpn connected from 68.69.184.82 but failed an authentication attempt due to the following reason: The remote connection was denied because the user name and password combination you provided is not recognized, or the selected authentication protocol is not permitted on the remote access server.

Un avertissement isolé peut venir d'une faute de frappe ou d'un client mal configuré. Des échecs répétés avec de nombreux utilisateurs sont un signe courant d'essais automatisés de mots de passe. Ils consomment aussi les ressources d'authentification et masquent les événements utiles parmi des milliers d'échecs.

RdpGuard surveille RemoteAccess 20271 dans le journal Système et IPsec 4652 dans le journal Sécurité. Il lit l'IP source de chaque échec pris en charge et compte les détections. Au seuil configuré, il bloque l'adresse pour la durée choisie, puis la débloque automatiquement.

Vous contrôlez le seuil et la durée. Vous pouvez autoriser les IP de confiance, exclure des événements précis et recevoir des notifications par e-mail ou Telegram. Le blocage automatique réduit les tentatives répétées tout en vous laissant définir la politique d'accès.

Consultez Activer et configurer la protection Microsoft VPN (RRAS) pour les étapes, les journaux requis et des exemples d'exclusion.