RD Web Access の保護

• RD Web Access 保護を有効にする
• 詳細設定

RdpGuard は IIS ログと Windows のセキュリティイベントを監視し、RD Web Access への攻撃を検出します。以下の手順でログの検出を設定し、リバースプロキシを使用する場合は詳細設定も行ってください。

1. RdpGuard ダッシュボードを開き、監視対象のプロトコルで RD-WEB をクリックします。

   

2. RD Web 保護を有効にするをオンにします。ログの自動検出を使用するか、以下の手順でフォルダーを指定し、保存をクリックします。

   

RD Web Access 保護の設定

ログファイルの場所を自動検出は、/RDWeb をホストする IIS サイトを探し、そのログフォルダーを使用します。検出に失敗する場合や別のフォルダーを選ぶ場合はオフにし、IIS ログファイルの場所を入力します。

u_ex*.log ファイルを含むフォルダーを選択します。例: C:\inetpub\logs\LogFiles\W3SVC1。W3SVC に続く数字はサイト ID です。RD Web Access をホストするサイトの ID を使用してください。

W3C ログを有効にし、次のフィールドを含めます: Date (date)、Time (time)、Client IP Address (c-ip)、Method (cs-method)、URI Stem (cs-uri-stem)、User Name (cs-username)。

Windows イベントとの照合のため、推奨される監査設定に従って失敗の監査を有効にします。保存後、表示, イベントログを表示でエラーを確認してください。

RD Web の詳細設定...をクリックすると、HTTP の詳細設定が開きます。IIS からクライアント IP を読み取る方法を設定します。

X-Forwarded-For フィールドからクライアント IP を読み取る

既定では、IIS ログの Client IP Address (c-ip) を読み取ります。リバースプロキシの背後では、通常はプロキシの IP です。この設定で X-Forwarded-For を使用できます。複数のアドレスがある場合は最初のものを使います。

信頼するプロキシで実際の IP を渡し、クライアントがヘッダーの先頭アドレスを偽装できないよう設定してください。プロキシを迂回できないよう IIS への直接アクセスも制限します。ログ設定はプロキシ経由の IIS 設定を参照してください。

X-Forwarded-For がない場合は接続元 IP を使用

X-Forwarded-For がない場合に c-ip を使います。すべてのリクエストがプロキシ経由の場合は、プロキシ自体をブロックする恐れがあるため、オフにしてください。

OK をクリックし、RD Web の設定で保存をクリックします。

X-Forwarded-For を使うリクエストのブロック

X-Forwarded-For はクライアントの特定に使えますが、ブロックする場所は変わりません。接続元がリバースプロキシの場合、クライアント IP に対する Windows ファイアウォールのルールでは、中継された接続を遮断できません。

プロキシでクライアントをブロックするか、以下の IIS の IP およびドメインの制限、プロキシモード、カスタムアクションを使用してください。

RdpGuard のカスタムアクションの設定

次の例は IIS サイトの IPv4 拒否エントリを追加・削除します。両方のコマンドの RD Web Site を、IIS マネージャーのサイト名に置き換えてください。

1. 必要に応じて IIS の役割サービス IP Address and Domain Restrictions をインストールします。
2. IIS Manager でサイトを選択し、IP Address and Domain Restrictions を開きます。Edit Feature Settings... で Enable Proxy Mode をオンにします。IIS 8.0 以降が必要です。Microsoft の IP Security ドキュメントを参照してください。
3. RdpGuard ダッシュボードを管理者として実行し、ツール, カスタムアクション / 通知から以下の 2 つのアクションを追加します。

IP ブロックアクション

• イベント: IP Blocked
• タスク: Execute program
• パス:C:\Windows\System32\inetsrv\appcmd.exe

引数:

set config "RD Web Site" /section:system.webServer/security/ipSecurity /+"[ipAddress='%IP%',allowed='false']" /commit:apphost

IP ブロック解除アクション

• イベント: IP Unblocked
• タスク: Execute program
• パス:C:\Windows\System32\inetsrv\appcmd.exe

引数:

set config "RD Web Site" /section:system.webServer/security/ipSecurity /-"[ipAddress='%IP%']" /commit:apphost

アクションを保存します。ローカル検出でブロックされた後、サイトに拒否項目が追加され、プロキシ経由のクライアント要求が拒否されることを確認してください。ブロック解除時には、2 つ目のアクションが項目を削除します。

これらは今後のローカル検出による IP BlockedとIP Unblockedを処理します。既にブロック済みのリストや、IP Cloud のみによるブロックは同期しません。