RdpGuard の GeoIP ブロック

• GeoIP ブロックについて
• GeoIP ブロックの有効化
• 特定の国をブロック
• 特定の国だけを許可
• 特定の IP アドレスと範囲を許可
• GeoIP の詳細設定
• 既知の制約と制限

GeoIP は、特定の国からのアクセスを拒否したり、選択した国からのアクセスだけを許可したりできます。国別の IP 範囲は自動更新されます。

GeoIP の詳細設定で、Windows サーバーの全ポートまたは特定のポートに制限を適用できます。

1. ツール, オプションをクリックします:

   

2. オプションの GeoIP タブで、GeoIP を有効にするをオンにします:

   

3. 特定の国をブロックするか、特定の国だけを許可するかを選び、対応する手順に進みます。

拒否モードでは、選択した国をブロックし、その他の国は制限しません。

1. 選択した国からの接続を拒否を選択します:

   

2. 追加をクリックします。

   国を追加ダイアログが開きます:

   

3. ブロックする国を選び、追加をクリックします。

4. オプションで保存をクリックして変更を適用します。

許可モードでは、選択した国を許可し、その他の国をブロックします。例外として特定の IP アドレスや範囲も追加できます。

1. 選択した国からの接続のみ許可を選択します:

   

2. 追加, 許可された国をクリックします。

   国を追加ダイアログが開きます:

   

3. 許可する国を選び、追加をクリックします。

4. オプションで保存をクリックして変更を適用します。

テストモードは、次の再起動まで国別の制限を適用します。コンピューターを再起動すると、これらの一時的な GeoIP 制限が解除されます。他のファイアウォールや RdpGuard のルールは引き続き適用されます。

許可モードでは、選択した国に関係なく許可したいアドレス、範囲、CIDR を追加できます。これらは国別制限の例外になりますが、ログイン失敗への保護やブロックリストによってブロックされる場合はあります。

信頼できるアドレスを RdpGuard のブロックから除外するには、許可リストを使用してください。

1. 追加, 許可されたアドレスまたは範囲をクリックします:

   

2. IP アドレスを追加ダイアログが開きます:

   

   アドレスまたは範囲を 1 行に 1 つ入力し、追加をクリックします。

3. カスタム許可リストに項目が表示されます:

   

   保存をクリックして変更を適用します。

GeoIP タブで設定をクリックします:

GeoIP の詳細設定ダイアログには、拒否モード、許可モード、その他の 3 つのタブがあります。

拒否モード

拒否モードタブで、拒否リストの国に対してブロックするポートを設定します。

ブロック範囲 - 拒否した国からアクセスできないポートを選択します:

• すべてのポートをブロック - 拒否した国からサーバーの全ポートへのアクセスを遮断します。
• 選択したポート以外をすべてブロック - リスト内のポート以外へのアクセスを遮断します。
• 選択したポートのみブロック - 拒否した国からリスト内のポートへのアクセスだけを遮断します。

ポートはカンマで区切ります。例: 3389,443。

許可モード

許可モードタブで、許可モード時に許可した国からアクセスできるポートと、その他の国に対してブロックするポートを設定します。

許可ルール - 許可した国からアクセスできるポートを選択します:

• すべてのポートへのアクセスを許可 - 許可した国から全ポートへの接続を許可します。
• 選択したポートへのアクセスのみ許可 - リスト内のポートへの接続だけを許可します。

その他の接続 - 許可リストにない国からアクセスできないポートを選択します:

• すべてのポートをブロック - 許可していない国からの全アクセスを遮断します。
• 選択したポート以外をすべてブロック - 許可していない国から、リスト内のポート以外へのアクセスを遮断します。

ポートはカンマで区切ります。例: 3389,443。

例外と特殊なネットワーク - 許可モードの追加設定:

• ループバック接続を許可 (推奨) - コンピューター内部の接続を許可します。無効にすると、アプリケーションに影響する場合があります。
• ローカルネットワーク接続を許可 - ローカルネットワークからサーバーへのアクセスを許可します。
• 許可する接続から VPN ネットワークと Tor 出口ノードを除外 - 許可 IP 範囲から、既知の VPN ネットワークと Tor 出口ノードを除外します。
• 許可する接続からデータセンターネットワークを除外 - 許可 IP 範囲から、既知のデータセンターネットワークを除外します。

その他

その他タブには GeoIP データベースの設定があります:

GeoIP データベースには 2 種類あります:

• Lite - IP 範囲が少なく、低負荷ですが、精度は低くなります。
• Max - IP 範囲が多く、負荷は高くなりますが、高精度です。

OK をクリックし、オプションで保存をクリックして適用します。

GeoIP は、国別の IP 範囲を Windows Filtering Platform (WFP) に追加します。1 つの国に数千の範囲が含まれる場合もあります。設定が大きくなると、メモリと CPU の消費が増え、ルール更新が遅くなり、ネットワーク性能にも影響することがあります。

国のリストが大きい場合は、ポート別のフィルターを避けてください。

特定のポートを選ぶと、RdpGuard はポートごとに TCP と UDP のフィルターを作成し、それぞれに国別 IP リストを繰り返します:

対象ポートを減らしても、ファイアウォールルールが減るとは限りません。拒否・許可どちらの国リストも同様に増加します。"選択したポート以外" の設定でも、残りのポート範囲用に追加のフィルターを作成します。

設定の規模を抑えるには:

• 性能改善の選択肢として Lite データベースを検討してください。IP 範囲が少ない分、国の判定精度は下がり、誤ってブロック・許可されるアドレスが生じる場合があります。地理的な精度よりリソース節約を優先できる場合に使用してください。
• アクセス要件に合う場合は、すべてのポートを優先してください。
• 少数の国からだけアクセスさせる場合は、多数の国をブロックする代わりに許可モードを検討してください。

大規模な設定は、本番適用前に実際の運用に近いトラフィックで試してください。GeoIP やポート制限を追加して性能が低下した場合は、設定を減らして再検証してから拡張してください。