MS Remote Desktop Gateway, HAProxy ແລະລະຫັດຜ່ານ brute force

ເພື່ອນ, ສະບາຍດີ!

ມີຫຼາຍວິທີທີ່ຈະເຊື່ອມຕໍ່ຈາກເຮືອນໄປຫາບ່ອນເຮັດວຽກຫ້ອງການຂອງທ່ານ. ຫນຶ່ງໃນນັ້ນແມ່ນການນໍາໃຊ້ Microsoft Remote Desktop Gateway. ນີ້ແມ່ນ RDP ຜ່ານ HTTP. ຂ້ອຍບໍ່ຕ້ອງການທີ່ຈະສໍາຜັດກັບການຕັ້ງຄ່າ RDGW ຕົວຂອງມັນເອງຢູ່ທີ່ນີ້, ຂ້ອຍບໍ່ຢາກປຶກສາຫາລືວ່າເປັນຫຍັງມັນດີຫຼືບໍ່ດີ, ໃຫ້ຖືວ່າມັນເປັນເຄື່ອງມືການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກ. ຂ້ອຍຕ້ອງການເວົ້າກ່ຽວກັບການປົກປ້ອງເຄື່ອງແມ່ຂ່າຍ RDGW ຂອງທ່ານຈາກອິນເຕີເນັດທີ່ຊົ່ວຮ້າຍ. ເມື່ອຂ້ອຍຕັ້ງເຄື່ອງແມ່ຂ່າຍ RDGW, ຂ້ອຍທັນທີທັນໃດກັງວົນກ່ຽວກັບຄວາມປອດໄພ, ໂດຍສະເພາະແມ່ນການປົກປ້ອງລະຫັດຜ່ານ brute force. ຂ້າ​ພະ​ເຈົ້າ​ປະ​ຫລາດ​ໃຈ​ທີ່​ຂ້າ​ພະ​ເຈົ້າ​ບໍ່​ໄດ້​ຊອກ​ຫາ​ບົດ​ຄວາມ​ໃດ​ຫນຶ່ງ​ໃນ​ອິນ​ເຕີ​ເນັດ​ກ່ຽວ​ກັບ​ວິ​ທີ​ການ​ເຮັດ​ແນວ​ນີ້​. ແລ້ວ, ເຈົ້າຈະຕ້ອງເຮັດມັນເອງ.

RDGW ຕົວຂອງມັນເອງບໍ່ມີການປົກປ້ອງໃດໆ. ແມ່ນແລ້ວ, ມັນສາມາດເປີດເຜີຍໄດ້ດ້ວຍການໂຕ້ຕອບເປົ່າກັບເຄືອຂ່າຍສີຂາວແລະມັນຈະເຮັດວຽກໄດ້ດີ. ແຕ່ນີ້ຈະເຮັດໃຫ້ຜູ້ບໍລິຫານທີ່ຖືກຕ້ອງຫຼືຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພຂໍ້ມູນບໍ່ສະບາຍ. ນອກຈາກນັ້ນ, ມັນຈະຊ່ວຍໃຫ້ທ່ານຫຼີກເວັ້ນສະຖານະການປິດບັນຊີ, ເມື່ອພະນັກງານທີ່ບໍ່ສົນໃຈຈື່ລະຫັດຜ່ານສໍາລັບບັນຊີຂອງບໍລິສັດໃນຄອມພິວເຕີຢູ່ເຮືອນ, ແລະຫຼັງຈາກນັ້ນປ່ຽນລະຫັດຜ່ານຂອງລາວ.

ວິທີທີ່ດີໃນການປົກປ້ອງຊັບພະຍາກອນພາຍໃນຈາກສະພາບແວດລ້ອມພາຍນອກແມ່ນຜ່ານຕົວແທນຕ່າງໆ, ລະບົບການເຜີຍແຜ່, ແລະ WAFs ອື່ນໆ. ຂໍໃຫ້ຈື່ໄວ້ວ່າ RDGW ຍັງເປັນ http, ຫຼັງຈາກນັ້ນມັນພຽງແຕ່ຂໍເອົາການແກ້ໄຂພິເສດລະຫວ່າງເຄື່ອງແມ່ຂ່າຍພາຍໃນແລະອິນເຕີເນັດ.

ຂ້ອຍຮູ້ວ່າມີ F5, A10, Netscaler (ADC). ໃນຖານະເປັນຜູ້ເບິ່ງແຍງລະບົບຫນຶ່ງຂອງລະບົບເຫຼົ່ານີ້, ຂ້າພະເຈົ້າຈະເວົ້າວ່າມັນກໍ່ເປັນໄປໄດ້ທີ່ຈະຕັ້ງຄ່າການປ້ອງກັນຕ້ານກັບ brute force ໃນລະບົບເຫຼົ່ານີ້. ແລະແມ່ນແລ້ວ, ລະບົບເຫຼົ່ານີ້ຍັງຈະປົກປ້ອງທ່ານຈາກໄພນໍ້າຖ້ວມໃດໆ.

ແຕ່ບໍ່ແມ່ນທຸກໆບໍລິສັດສາມາດຊື້ການແກ້ໄຂດັ່ງກ່າວ (ແລະຊອກຫາຜູ້ບໍລິຫານສໍາລັບລະບົບດັ່ງກ່າວ :), ແຕ່ໃນເວລາດຽວກັນພວກເຂົາສາມາດດູແລຄວາມປອດໄພໄດ້!

ມັນເປັນໄປໄດ້ທັງຫມົດທີ່ຈະຕິດຕັ້ງ HAProxy ສະບັບຟຣີໃນລະບົບປະຕິບັດການຟຣີ. ຂ້ອຍໄດ້ທົດສອບໃນ Debian 10, haproxy version 1.8.19 ໃນບ່ອນເກັບມ້ຽນທີ່ຫມັ້ນຄົງ. ຂ້າ​ພະ​ເຈົ້າ​ຍັງ​ໄດ້​ທົດ​ສອບ​ມັນ​ໃນ​ສະ​ບັບ 2.0.xx ຈາກ repository ການ​ທົດ​ສອບ​.

ພວກເຮົາຈະອອກຈາກການຕັ້ງຄ່າ debian ຕົວຂອງມັນເອງຢູ່ນອກຂອບເຂດຂອງບົດຄວາມນີ້. ໂດຍຫຍໍ້: ໃນອິນເຕີເຟດສີຂາວ, ປິດທຸກຢ່າງຍົກເວັ້ນພອດ 443, ໃນອິນເຕີເຟດສີຂີ້ເຖົ່າ - ອີງຕາມນະໂຍບາຍຂອງເຈົ້າ, ຕົວຢ່າງ, ປິດທຸກຢ່າງຍົກເວັ້ນພອດ 22. ເປີດພຽງແຕ່ສິ່ງທີ່ຈໍາເປັນສໍາລັບການເຮັດວຽກ (VRRP ຕົວຢ່າງ, ສໍາລັບ ip ລອຍ).

ກ່ອນອື່ນ ໝົດ, ຂ້ອຍໄດ້ຕັ້ງຄ່າ haproxy ໃນຮູບແບບ SSL bridging (aka http mode) ແລະເປີດການເຂົ້າສູ່ລະບົບເພື່ອເບິ່ງສິ່ງທີ່ເກີດຂື້ນພາຍໃນ RDP. ສະນັ້ນເພື່ອເວົ້າ, ຂ້າພະເຈົ້າໄດ້ຢູ່ໃນກາງ. ດັ່ງນັ້ນ, ເສັ້ນທາງ /RDWeb ທີ່ລະບຸໄວ້ໃນບົດຄວາມ "ທັງຫມົດ" ກ່ຽວກັບການຕັ້ງຄ່າ RDGateway ແມ່ນຫາຍໄປ. ທັງໝົດນັ້ນແມ່ນ /rpc/rpcproxy.dll ແລະ /remoteDesktopGateway/. ໃນ​ກໍ​ລະ​ນີ​ນີ້, ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ GET/POST ມາດ​ຕະ​ຖານ​ບໍ່​ໄດ້​ຖືກ​ນໍາ​ໃຊ້; ປະ​ເພດ​ຂອງ​ເຂົາ​ເຈົ້າ​ຂອງ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ RDG_IN_DATA, RDG_OUT_DATA ຖືກ​ນໍາ​ໃຊ້.

ບໍ່ຫຼາຍປານໃດ, ແຕ່ຢ່າງຫນ້ອຍບາງສິ່ງບາງຢ່າງ.

ໃຫ້ທົດສອບ.

ຂ້ອຍເປີດ mstsc, ໄປຫາເຄື່ອງແມ່ຂ່າຍ, ເບິ່ງສີ່ຂໍ້ຜິດພາດ 401 (ບໍ່ໄດ້ຮັບອະນຸຍາດ) ໃນບັນທຶກ, ຫຼັງຈາກນັ້ນໃສ່ຊື່ຜູ້ໃຊ້ / ລະຫັດຜ່ານຂອງຂ້ອຍແລະເບິ່ງຄໍາຕອບ 200.

ຂ້ອຍປິດມັນ, ເລີ່ມຕົ້ນມັນອີກເທື່ອຫນຶ່ງ, ແລະໃນບັນທຶກຂ້ອຍເຫັນສີ່ຂໍ້ຜິດພາດ 401 ດຽວກັນ. ຂ້ອຍໃສ່ການເຂົ້າສູ່ລະບົບ / ລະຫັດຜ່ານຜິດແລະເຫັນສີ່ຂໍ້ຜິດພາດ 401 ອີກເທື່ອຫນຶ່ງ. ນັ້ນແມ່ນສິ່ງທີ່ຂ້ອຍຕ້ອງການ. ນີ້ແມ່ນສິ່ງທີ່ພວກເຮົາຈະຈັບ.

ເນື່ອງຈາກວ່າມັນບໍ່ສາມາດກໍານົດ url ເຂົ້າສູ່ລະບົບ, ແລະນອກຈາກນັ້ນ, ຂ້າພະເຈົ້າບໍ່ຮູ້ວິທີການຈັບຄວາມຜິດພາດ 401 ໃນ haproxy, ຂ້າພະເຈົ້າຈະຈັບ (ບໍ່ຈັບຕົວຈິງ, ແຕ່ນັບ) ທັງຫມົດ 4xx ຄວາມຜິດພາດ. ນອກຈາກນີ້ຍັງເຫມາະສົມສໍາລັບການແກ້ໄຂບັນຫາ.

ໂດຍເນື້ອແທ້ແລ້ວຂອງການປົກປ້ອງຈະເປັນວ່າພວກເຮົາຈະນັບຈໍານວນ 4xx ຂໍ້ຜິດພາດ (ໃນ backend) ຕໍ່ຫນ່ວຍເວລາແລະຖ້າມັນເກີນຂອບເຂດທີ່ກໍານົດໄວ້, ຫຼັງຈາກນັ້ນປະຕິເສດ (ຢູ່ດ້ານຫນ້າ) ການເຊື່ອມຕໍ່ເພີ່ມເຕີມທັງຫມົດຈາກ ip ນີ້ສໍາລັບເວລາທີ່ກໍານົດໄວ້. .

ທາງດ້ານເທກນິກ, ນີ້ຈະບໍ່ເປັນການປົກປ້ອງລະຫັດຜ່ານ brute force, ມັນຈະເປັນການປ້ອງກັນຄວາມຜິດພາດ 4xx. ຕົວຢ່າງ, ຖ້າທ່ານມັກຈະຮ້ອງຂໍໃຫ້ມີ url ທີ່ບໍ່ມີຢູ່ (404), ຫຼັງຈາກນັ້ນ, ການປົກປ້ອງຍັງຈະເຮັດວຽກ.

ວິທີທີ່ງ່າຍທີ່ສຸດ ແລະມີປະສິດທິພາບທີ່ສຸດຄືການນັບຢູ່ໃນ backend ແລະລາຍງານຄືນຖ້າມີອັນໃດອັນພິເສດປາກົດຂຶ້ນ:

frontend fe_rdp_tsc
    bind *:443 ssl crt /etc/haproxy/cert/desktop.example.com.pem
    mode http
    ...
    default_backend be_rdp_tsc


backend be_rdp_tsc
    ...
    mode http
    ...

    #создать таблицу, строковую, 1000 элементов, протухает через 15 сек, записать кол-во ошибок за последние 10 сек
    stick-table type string len 128 size 1k expire 15s store http_err_rate(10s)
    #запомнить ip
    http-request track-sc0 src
    #запретить с http ошибкой 429, если за последние 10 сек больше 4 ошибок
    http-request deny deny_status 429 if { sc_http_err_rate(0) gt 4 }
	
	...
    server rdgw01 192.168.1.33:443 maxconn 1000 weight 10 ssl check cookie rdgw01
    server rdgw02 192.168.2.33:443 maxconn 1000 weight 10 ssl check cookie rdgw02

ບໍ່ແມ່ນທາງເລືອກທີ່ດີທີ່ສຸດ, ໃຫ້ມັນສັບສົນ. ພວກເຮົາຈະນັບຢູ່ໃນ backend ແລະຕັນໃນ frontend.

ພວກເຮົາຈະປະຕິບັດຕໍ່ຜູ້ໂຈມຕີຢ່າງຫຍາບຄາຍແລະລຸດການເຊື່ອມຕໍ່ TCP ຂອງລາວ.

frontend fe_rdp_tsc
    bind *:443 ssl crt /etc/haproxy/cert/ertelecom_ru_2020_06_11.pem
    mode http
    ...
    #создать таблицу ip адресов, 1000 элементов, протухнет через 15 сек, сохрянять из глобального счётчика
    stick-table type ip size 1k expire 15s store gpc0
    #взять источник
    tcp-request connection track-sc0 src
    #отклонить tcp соединение, если глобальный счётчик >0
    tcp-request connection reject if { sc0_get_gpc0 gt 0 }
	
    ...
    default_backend be_rdp_tsc


backend be_rdp_tsc
    ...
    mode http
    ...
	
    #создать таблицу ip адресов, 1000 элементов, протухнет через 15 сек, сохранять кол-во ошибок за 10 сек
    stick-table type ip size 1k expire 15s store http_err_rate(10s)
    #много ошибок, если кол-во ошибок за 10 сек превысило 8
    acl errors_too_fast sc1_http_err_rate gt 8
    #пометить атаку в глобальном счётчике (увеличить счётчик)
    acl mark_as_abuser sc0_inc_gpc0(fe_rdp_tsc) gt 0
    #обнулить глобальный счётчик
    acl clear_as_abuser sc0_clr_gpc0(fe_rdp_tsc) ge 0
    #взять источник
    tcp-request content track-sc1 src
    #отклонить, пометить, что атака
    tcp-request content reject if errors_too_fast mark_as_abuser
    #разрешить, сбросить флажок атаки
    tcp-request content accept if !errors_too_fast clear_as_abuser
	
    ...
    server rdgw01 192.168.1.33:443 maxconn 1000 weight 10 ssl check cookie rdgw01
    server rdgw02 192.168.2.33:443 maxconn 1000 weight 10 ssl check cookie rdgw02

ສິ່ງດຽວກັນ, ແຕ່ຢ່າງສຸພາບ, ພວກເຮົາຈະສົ່ງຄືນຂໍ້ຜິດພາດ http 429 (ການຮ້ອງຂໍຫຼາຍເກີນໄປ)

frontend fe_rdp_tsc
    ...
    stick-table type ip size 1k expire 15s store gpc0
    http-request track-sc0 src
    http-request deny deny_status 429 if { sc0_get_gpc0 gt 0 }
    ...
    default_backend be_rdp_tsc

backend be_rdp_tsc
    ...
    stick-table type ip size 1k expire 15s store http_err_rate(10s)
    acl errors_too_fast sc1_http_err_rate gt 8
    acl mark_as_abuser sc0_inc_gpc0(fe_rdp_tsc) gt 0
    acl clear_as_abuser sc0_clr_gpc0(fe_rdp_tsc) ge 0
    http-request track-sc1 src
    http-request allow if !errors_too_fast clear_as_abuser
    http-request deny deny_status 429 if errors_too_fast mark_as_abuser
    ...

ຂ້ອຍກວດເບິ່ງ: ຂ້ອຍເປີດ mstsc ແລະເລີ່ມໃສ່ລະຫັດຜ່ານແບບສຸ່ມ. ຫຼັງຈາກຄວາມພະຍາຍາມຄັ້ງທີສາມ, ພາຍໃນ 10 ວິນາທີມັນເຕະຂ້ອຍຄືນ, ແລະ mstsc ໃຫ້ຂໍ້ຜິດພາດ. ດັ່ງທີ່ສາມາດເຫັນໄດ້ໃນບັນທຶກ.

ຄໍາອະທິບາຍ. ຂ້ອຍຢູ່ໄກຈາກແມ່ແບບ haproxy. ຂ້ອຍບໍ່ເຂົ້າໃຈວ່າເປັນຫຍັງ, ຕົວຢ່າງ
http-request deny deny_status 429 ຖ້າ { sc_http_err_rate(0) gt 4 }
ອະນຸຍາດໃຫ້ທ່ານເຮັດປະມານ 10 ຄວາມຜິດພາດກ່ອນທີ່ມັນຈະເຮັດວຽກ.

ຂ້ອຍສັບສົນກ່ຽວກັບການນັບຕົວເລກ. ອາຈານຂອງ haproxy, ຂ້າພະເຈົ້າຈະດີໃຈຖ້າຫາກວ່າທ່ານປະກອບຂ້າພະເຈົ້າ, ແກ້ໄຂຂ້າພະເຈົ້າ, ເຮັດໃຫ້ຂ້າພະເຈົ້າດີຂຶ້ນ.

ໃນຄໍາເຫັນທ່ານສາມາດແນະນໍາວິທີອື່ນເພື່ອປົກປ້ອງ RD Gateway, ມັນຈະເປັນຫນ້າສົນໃຈທີ່ຈະສຶກສາ.

ກ່ຽວກັບ Windows Remote Desktop Client (mstsc), ມັນເປັນມູນຄ່າທີ່ສັງເກດວ່າມັນບໍ່ໄດ້ສະຫນັບສະຫນູນ TLS1.2 (ຢ່າງຫນ້ອຍໃນ Windows 7), ດັ່ງນັ້ນຂ້ອຍຕ້ອງອອກຈາກ TLS1; ບໍ່ສະຫນັບສະຫນູນລະຫັດປະຈຸບັນ, ສະນັ້ນຂ້າພະເຈົ້າຍັງຕ້ອງອອກຈາກອັນເກົ່າ.

ສໍາລັບຜູ້ທີ່ບໍ່ເຂົ້າໃຈຫຍັງ, ພຽງແຕ່ຮຽນຮູ້, ແລະຕ້ອງການທີ່ຈະເຮັດໄດ້ດີ, ຂ້າພະເຈົ້າຈະໃຫ້ທ່ານ config ທັງຫມົດ.

haproxy.conf

global
        log /dev/log    local0
        log /dev/log    local1 notice
        chroot /var/lib/haproxy
        stats socket /run/haproxy/admin.sock mode 660 level admin expose-fd listeners
        stats timeout 30s
        user haproxy
        group haproxy
        daemon

        # Default SSL material locations
        ca-base /etc/ssl/certs
        crt-base /etc/ssl/private

        # See: https://ssl-config.mozilla.org/#server=haproxy&server-version=2.0.3&config=intermediate
        #ssl-default-bind-ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE
-RSA-AES256-GCM-SHA384
        ssl-default-bind-ciphers ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS
        ssl-default-bind-ciphersuites TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
        #ssl-default-bind-options ssl-min-ver TLSv1.2 no-tls-tickets
        ssl-default-bind-options no-sslv3
        ssl-server-verify none


defaults
        log     global
        mode    http
        option  httplog
        option  dontlognull
        timeout connect 5000
        timeout client  15m
        timeout server  15m
        errorfile 400 /etc/haproxy/errors/400.http
        errorfile 403 /etc/haproxy/errors/403.http
        errorfile 408 /etc/haproxy/errors/408.http
        errorfile 500 /etc/haproxy/errors/500.http
        errorfile 502 /etc/haproxy/errors/502.http
        errorfile 503 /etc/haproxy/errors/503.http
        errorfile 504 /etc/haproxy/errors/504.http


frontend fe_rdp_tsc
    bind *:443 ssl crt /etc/haproxy/cert/dektop.example.com.pem
    mode http
    capture request header Host len 32
    log global
    option httplog
    timeout client 300s
    maxconn 1000

    stick-table type ip size 1k expire 15s store gpc0
    tcp-request connection track-sc0 src
    tcp-request connection reject if { sc0_get_gpc0 gt 0 }

    acl rdweb_domain hdr(host) -i beg dektop.example.com
    http-request deny deny_status 400 if !rdweb_domain
    default_backend be_rdp_tsc


backend be_rdp_tsc
    balance source
    mode http
    log global

    stick-table type ip size 1k expire 15s store http_err_rate(10s)
    acl errors_too_fast sc1_http_err_rate gt 8
    acl mark_as_abuser sc0_inc_gpc0(fe_rdp_tsc) gt 0
    acl clear_as_abuser sc0_clr_gpc0(fe_rdp_tsc) ge 0
    tcp-request content track-sc1 src
    tcp-request content reject if errors_too_fast mark_as_abuser
    tcp-request content accept if !errors_too_fast clear_as_abuser

    option forwardfor
    http-request add-header X-CLIENT-IP %[src]

    option httpchk GET /
    cookie RDPWEB insert nocache
    default-server inter 3s    rise 2  fall 3
    server rdgw01 192.168.1.33:443 maxconn 1000 weight 10 ssl check cookie rdgw01
    server rdgw02 192.168.2.33:443 maxconn 1000 weight 10 ssl check cookie rdgw02


frontend fe_stats
    mode http
    bind *:8080
    acl ip_allow_admin src 192.168.66.66
    stats enable
    stats uri /stats
    stats refresh 30s
    #stats admin if LOCALHOST
    stats admin if ip_allow_admin

ເປັນຫຍັງສອງເຄື່ອງແມ່ຂ່າຍໃນ backend? ເນື່ອງຈາກວ່ານີ້ແມ່ນວິທີທີ່ທ່ານສາມາດສ້າງຄວາມທົນທານຕໍ່ຄວາມຜິດ. Haproxy ຍັງສາມາດສ້າງສອງດ້ວຍ ip ສີຂາວທີ່ເລື່ອນໄດ້.

ຊັບພະຍາກອນຄອມພິວເຕີ: ທ່ານສາມາດເລີ່ມຕົ້ນດ້ວຍ "ສອງ gig, ສອງແກນ, ເກມ PC." ອີງ​ຕາມ ວິກິພີເດຍ ນີ້ຈະພຽງພໍທີ່ຈະ spare.

ເອກະສານອ້າງອີງ:

ຕັ້ງຄ່າ rdp-gateway ຈາກ HAProxy
ບົດຄວາມດຽວທີ່ຂ້ອຍພົບບ່ອນທີ່ພວກເຂົາເບື່ອກັບ brute-force ລະຫັດຜ່ານ

ແຫຼ່ງຂໍ້ມູນ: www.habr.com