Ahoj přátelé!
Existuje mnoho způsobů, jak se připojit z domova k pracovnímu místu v kanceláři. Jedním z nich je použití Microsoft Remote Desktop Gateway. To je RDP přes HTTP. Nechci se zde zabývat nastavením samotného RDGW, ani nehodlám diskutovat, proč je dobrý nebo špatný, pojďme se na něj podívat jako na jeden z nástrojů vzdáleného přístupu. Chci mluvit o ochraně vašeho RDGW serveru před zlým internetem. Když jsem nastavil RDGW servery, okamžitě jsem se začal zabývat ochranou, zejména ochranou před bruteforce útoky. Udivilo mě, že jsem na internetu nenašel články, jak to udělat. No co, musím to udělat sám.
Sám o sobě RDGW nemá žádné ochrany. Ano, může být vystaveno bez jakékoli ochrany v otevřené síti a bude skvěle fungovat. Ale správnému administrátorovi nebo specialistovi na bezpečnost to nebude dávat klid. Taktéž to může zabránit situaci zablokování účtu, když nezodpovědný zaměstnanec zapomněl heslo firemního účtu na domácím počítači a poté změnil své heslo.
Dobrý způsob, jak chránit interní zdroje před vnějšími podmínkami, jsou různé proxy servery, publikační systémy a další WAF. Připomeňme, že RDGW je přece jen HTTP, pak se přímo nabízí vložit specializované řešení mezi interními servery a internetem.
Vím, že existují skvělé produkty jako F5, A10, Netscaler (ADC). Jako administrátor jednoho z těchto systémů mohu říct, že nastavit ochranu proti bruteforce útokům na těchto systémech je také možné. A ano, tyto systémy vás zároveň ochrání před všemi syn floody.
Ale ne každá firma si může dovolit zakoupit takové řešení (a najít administrátora pro takový systém :), a o bezpečnost, přitom, se postarat může!
Je zcela možné nainstalovat bezplatnou verzi HAProxy na bezplatném operačním systému. Testoval jsem to na Debianu 10, ve stabilním repozitáři byla verze haproxy 1.8.19. Také jsem zkoušel verzi 2.0.xx z testing repozitáře.
Nastavení samotného Debianu necháme mimo tento článek. Stručně: na veřejném rozhraní zavřít vše kromě portu 443, na šedém rozhraní — podle vaší politiky, například také zavřít vše kromě portu 22. Otevřít pouze to, co je nezbytné pro provoz (například VRRP pro plovoucí IP).
Nejprve jsem nastavil haproxy na režim SSL bridging (také známý jako mód http) a aktivoval logování, abych viděl, co se děje uvnitř RDP. Takže to vypadá, že jsem se vměšoval do procesu. Nicméně, cesta /RDWeb, uvedená ve „všech“ článcích o nastavení RDGateway, chybí. Vše, co tam je, je /rpc/rpcproxy.dll a /remoteDesktopGateway/. Nepoužívají se standardní GET/POST dotazy, aplikuje se vlastní typ dotazu RDG_IN_DATA, RDG_OUT_DATA.
Není toho moc, ale alespoň něco.
Pojďme to otestovat.
Spouštím mstsc, jdu na server, v logách vidím čtyři chyby 401 (unauthorized), poté zadám uživatelské jméno/heslo a vidím odpověď 200.
Odpojuji se, spouštím znovu, v logách vidím ty samé čtyři chyby 401. Zadám špatné uživatelské jméno/heslo a znovu vidím čtyři chyby 401. To je to, co potřebujeme. To budeme sledovat.
Protože se mi nepodařilo určit login url a navíc nevím, jak v haproxy monitorovat konkrétně chybu 401, budu sledovat (ve skutečnosti ne monitorovat, ale počítat) všechny chyby 4xx. To také vyhovuje pro řešení úkolu.
Podstata ochrany bude spočívat v tom, že budeme počítat počet chyb 4xx (na backendu) za jednotku času a pokud překročí stanovený limit, budu odmítat (na frontendě) všechna další spojení z této ip na stanovenou dobu.
Technicky vzato, nebude to ochrana proti brute force útokům, ale ochrana proti chybám 4xx. Například, pokud se často vyžaduje neexistující url (404), ochrana se také aktivuje.
Nejjednodušší a funkční způsob — na backendu počítat a blokovat, pokud se něco nadbytečné objeví:
frontend fe_rdp_tsc
bind *:443 ssl crt /etc/haproxy/cert/desktop.example.com.pem
mode http
...
default_backend be_rdp_tsc
backend be_rdp_tsc
...
mode http
...
# vytvořit tabulku, řetězcovou, 1000 prvků, expirovanou za 15 sek, uložit počet chyb za posledních 10 sek
stick-table type string len 128 size 1k expire 15s store http_err_rate(10s)
# zapamatovat si ip
http-request track-sc0 src
# zakázat s http chybou 429, pokud bylo za posledních 10 sek více než 4 chyby
http-request deny deny_status 429 if { sc_http_err_rate(0) gt 4 }
...
server rdgw01 192.168.1.33:443 maxconn 1000 weight 10 ssl check cookie rdgw01
server rdgw02 192.168.2.33:443 maxconn 1000 weight 10 ssl check cookie rdgw02
Není to nejlepší varianta, zkomplikuje to. Budeme počítat na backendu, ale blokovat na frontendě.
S útočníkem se zachováme tvrdě, budeme mu ukončovat TCP spojení.
frontend fe_rdp_tsc
bind *:443 ssl crt /etc/haproxy/cert/ertelecom_ru_2020_06_11.pem
mode http
...
#vytvořit tabulku IP adres, 1000 prvků, expirovat po 15 s, uchovávat z globálního počítadla
stick-table type ip size 1k expire 15s store gpc0
#vzít zdroj
tcp-request connection track-sc0 src
#odmítnout tcp spojení, pokud globální počítadlo >0
tcp-request connection reject if { sc0_get_gpc0 gt 0 }
...
default_backend be_rdp_tsc
backend be_rdp_tsc
...
mode http
...
#vytvořit tabulku IP adres, 1000 prvků, expirovat po 15 s, uchovávat počet chyb za 10 s
stick-table type ip size 1k expire 15s store http_err_rate(10s)
#mnoho chyb, pokud počet chyb za 10 s překročí 8
acl errors_too_fast sc1_http_err_rate gt 8
#označit útok v globálním počítadle (zvýšit počítadlo)
acl mark_as_abuser sc0_inc_gpc0(fe_rdp_tsc) gt 0
#resetovat globální počítadlo
acl clear_as_abuser sc0_clr_gpc0(fe_rdp_tsc) ge 0
#vzít zdroj
tcp-request content track-sc1 src
#odmítnout, označit, že útok
tcp-request content reject if errors_too_fast mark_as_abuser
#povolit, resetovat příznak útoku
tcp-request content accept if !errors_too_fast clear_as_abuser
...
server rdgw01 192.168.1.33:443 maxconn 1000 weight 10 ssl check cookie rdgw01
server rdgw02 192.168.2.33:443 maxconn 1000 weight 10 ssl check cookie rdgw02
to samé, ale zdvořile, vrátíme chybu http 429 (Too Many Requests)
frontend fe_rdp_tsc
...
stick-table type ip size 1k expire 15s store gpc0
http-request track-sc0 src
http-request deny deny_status 429 if { sc0_get_gpc0 gt 0 }
...
default_backend be_rdp_tsc
backend be_rdp_tsc
...
stick-table type ip size 1k expire 15s store http_err_rate(10s)
acl errors_too_fast sc1_http_err_rate gt 8
acl mark_as_abuser sc0_inc_gpc0(fe_rdp_tsc) gt 0
acl clear_as_abuser sc0_clr_gpc0(fe_rdp_tsc) ge 0
http-request track-sc1 src
http-request allow if !errors_too_fast clear_as_abuser
http-request deny deny_status 429 if errors_too_fast mark_as_abuser
...
Kontroluji: spouštím mstsc a začínám náhodně zadávat hesla. Po třetím pokusu během 10 s mě vykopnou a mstsc vrátí chybu. Což je vidět v logech.
Vysvětlení. Nejsem právě odborník na haproxy. Nerozumím, proč například
http-request deny deny_status 429 if { sc_http_err_rate(0) gt 4 }
umožňuje udělat asi 10 chyb, než se aktivuje.
Zmatkuji v číslování počítačů. Odborníci na haproxy, rád bych, kdybyste mě doplnili, opravili, udělali to lépe.
Můžete v komentářích navrhnout další způsoby ochrany RD Gateway, bylo by zajímavé prozkoumat.
Pokud jde o klienta vzdálené plochy Windows (mstsc), je třeba poznamenat, že nepodporuje TLS1.2 (alespoň na Windows 7), takže jsem musel ponechat TLS1; nepodporuje aktuální šifry, takže jsem také musel ponechat staré.
Pro ty, kteří tomu ještě úplně nerozumí a teprve se učí, a už chtějí udělat dobrou práci, uvedu celý konfigurák.
haproxy.conf
global
log /dev/log local0
log /dev/log local1 notice
chroot /var/lib/haproxy
stats socket /run/haproxy/admin.sock mode 660 level admin expose-fd listeners
stats timeout 30s
user haproxy
group haproxy
daemon
# Výchozí umístění SSL materiálů
ca-base /etc/ssl/certs
crt-base /etc/ssl/private
# Viz: https://ssl-config.mozilla.org/#server=haproxy&server-version=2.0.3&config=intermediate
#ssl-default-bind-ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384
ssl-default-bind-ciphers ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS
ssl-default-bind-ciphersuites TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
#ssl-default-bind-options ssl-min-ver TLSv1.2 no-tls-tickets
ssl-default-bind-options no-sslv3
ssl-server-verify none
defaults
log global
mode http
option httplog
option dontlognull
timeout connect 5000
timeout client 15m
timeout server 15m
errorfile 400 /etc/haproxy/errors/400.http
errorfile 403 /etc/haproxy/errors/403.http
errorfile 408 /etc/haproxy/errors/408.http
errorfile 500 /etc/haproxy/errors/500.http
errorfile 502 /etc/haproxy/errors/502.http
errorfile 503 /etc/haproxy/errors/503.http
errorfile 504 /etc/haproxy/errors/504.http
frontend fe_rdp_tsc
bind *:443 ssl crt /etc/haproxy/cert/dektop.example.com.pem
mode http
capture request header Host len 32
log global
option httplog
timeout client 300s
maxconn 1000
stick-table type ip size 1k expire 15s store gpc0
tcp-request connection track-sc0 src
tcp-request connection reject if { sc0_get_gpc0 gt 0 }
acl rdweb_domain hdr(host) -i beg dektop.example.com
http-request deny deny_status 400 if !rdweb_domain
default_backend be_rdp_tsc
backend be_rdp_tsc
balance source
mode http
log global
stick-table type ip size 1k expire 15s store http_err_rate(10s)
acl errors_too_fast sc1_http_err_rate gt 8
acl mark_as_abuser sc0_inc_gpc0(fe_rdp_tsc) gt 0
acl clear_as_abuser sc0_clr_gpc0(fe_rdp_tsc) ge 0
tcp-request content track-sc1 src
tcp-request content reject if errors_too_fast mark_as_abuser
tcp-request content accept if !errors_too_fast clear_as_abuser
option forwardfor
http-request add-header X-CLIENT-IP %[src]
option httpchk GET /
cookie RDPWEB insert nocache
default-server inter 3s rise 2 fall 3
server rdgw01 192.168.1.33:443 maxconn 1000 weight 10 ssl check cookie rdgw01
server rdgw02 192.168.2.33:443 maxconn 1000 weight 10 ssl check cookie rdgw02
frontend fe_stats
mode http
bind *:8080
acl ip_allow_admin src 192.168.66.66
stats enable
stats uri /stats
stats refresh 30s
#stats admin if LOCALHOST
stats admin if ip_allow_admin
Proč jsou na backendu dva servery? Protože tak můžete dosáhnout vysoké dostupnosti. Haproxy můžete také nastavit s dvěma plovoucími veřejnými IP adresami.
Výpočetní zdroje: můžete začít s „dva gigabajty, dva jádra, herní PC“. Podle toho by to mělo být dostatečné s rezervou.
Odkazy:
Zdroj: habr.com
