Paramètres de protection OpenSSH sous Windows

Paramètres de protection OpenSSH pour Windows

La protection OpenSSH surveille les échecs SSH sous Windows et bloque temporairement les IP sources au seuil configuré. Exécutez RdpGuard sur l'ordinateur hébergeant OpenSSH Server, puis activez la protection comme suit.

Exécutez le tableau de bord RdpGuard en tant qu'administrateur. Sous Protocoles surveillés, cliquez sur OpenSSH lorsque son état est Désactivée.
Cliquez sur OpenSSH désactivé pour activer la protection.
Attendez l'enregistrement et le redémarrage automatique du service. L'état devient Activée. Ce bouton bascule directement la protection : un nouveau clic la désactive.

Pour régler le seuil ou la durée, ouvrez Outils, Options, Général. Vous pouvez aussi autoriser les IP de confiance et configurer les notifications de blocage.

Vérifier la détection des événements OpenSSH

OpenSSH enregistre l'authentification dans Observateur d'événements, Journaux des applications et des services, OpenSSH, Operational. C'est ce journal qu'utilise la protection OpenSSH de RdpGuard.

Événement OpenSSH Operational 4 avec échec de mot de passe et IP client — Les événements OpenSSH Operational identifient l'utilisateur essayé et l'IP source.

Les messages typiques incluent Failed password et Invalid user :

sshd: Failed password for invalid user test2 from 120.224.50.233 port 57821 ssh2
Invalid user admin from 203.0.113.25 port 51957

Vérifiez qu'OpenSSH Server est installé et actif, et que OpenSSH, Operational existe et est activé. Si OpenSSH a été installé après l'activation de la protection, redémarrez le service RdpGuard pour surveiller le nouveau journal.
Recherchez de nouveaux événements ID 4 contenant les messages ci-dessus. RdpGuard lit les nouveaux événements OpenSSH/Operational ; la seule présence d'événements 4625 ne vérifie pas la détection de ce module.
Si OpenSSH écrit uniquement dans des fichiers, vérifiez SyslogFacility dans %ProgramData%\ssh\sshd_config. LOCAL0 écrit dans des fichiers non lus par ce module. La valeur par défaut AUTH utilise les événements Windows. Redémarrez OpenSSH après modification ; consultez la documentation Microsoft sur les journaux OpenSSH.
Si une IP est détectée mais pas bloquée, vérifiez le seuil et la liste blanche. Consultez les erreurs dans Affichage, Afficher le journal d'événements.

L'analyseur actuel reconnaît les adresses IPv4 dans ces messages. Par défaut, les IP bloquées perdent l'accès à tous les ports. Avec le blocage par port, incluez le port SSH, généralement 22, ou votre port personnalisé.