Priatelia, ahojte!
Existuje mnoho spôsobov, ako sa pripojiť z domu na pracovisko v kancelárii. Jedným z nich je používanie Microsoft Remote Desktop Gateway. Je to RDP cez HTTP. Nechcem sa tu zaoberať nastavením samotného RDGW, nechcem diskutovať o tom, prečo je dobré alebo zlé, poďme sa na to pozrieť ako na jeden z nástrojov vzdialeného prístupu. Chcem hovoriť o ochrane vášho RDGW servera pred zlom na internete. Keď som nastavil RDGW servery, hneď som sa zaujímal o ochranu, najmä ochranu pred útokmi hrubou silou na heslá. Prekvapilo ma, že som nenašiel na internete články o tom, ako to urobiť. Nuž, bude to treba spraviť sám.
Samotné RDGW nemá žiadne zabezpečenie. Áno, môžete ho vystaviť s holým rozhraním do verejnej siete a bude dobre fungovať. Ale správny administrátor alebo odborník na IT bezpečnosť sa s tým nebude cítiť komfortne. Navyše to tiež pomôže vyhnúť sa situácii zablokovania účtu, keď nedbalý zamestnanec si zapamätal heslo k firemnému účtu na domácom počítači a potom zmenil svoje heslo.
Dobrý spôsob, ako chrániť vnútorné zdroje pred vonkajším prostredím, sú rôzne proxy, systémy publikovania a iné WAF. Pamätajme, že RDGW je predsa len http, takže sa priam núka vložiť špecializované riešenie medzi vnútorné servery a internet.
Vieme, že existujú úžasné F5, A10, Netscaler (ADC). Ako administrátor jedného z týchto systémov poviem, že nastaviť ochranu pred útokmi hrubou silou na týchto systémoch je tiež možné. A áno, tieto systémy vás súčasne ochránia pred rôznymi syn floodmi.
Ale nie každá spoločnosť si môže dovoliť získať takéto riešenie (a nájsť administrátora takého systému :), a o bezpečnosť, pritom, sa postarať môže!
Je úplne možné nainštalovať bezplatnú verziu HAProxy na bezplatnom operačnom systéme. Testoval som na Debian 10, v stabilnom repozitári je verzia haproxy 1.8.19. Tiež som kontroloval na verziách 2.0.xx z testing repozitára.
Nastavenie samotného Debiana ponecháme mimo článku. Stručne: na bielom rozhraní zatvorte všetko okrem portu 443, na šedom rozhraní – podľa vašich zásad, napríklad tiež zatvorte všetko okrem portu 22. Otvorte len to, čo je potrebné na prevádzku (napríklad VRRP pre plávajúcu IP).
Najprv som nastavil haproxy na SSL bridging mode (t.j. režim http) a zapol som logovanie, aby som videl, čo sa deje v RDP. Takže som sa dostal do prostredia. Takže, cesta uvedená vo „všetkých“ článkoch na nastavenie RDGateway \/RDWeb chýba. Všetko, čo tam je, sú \/rpc\/rpcproxy.dll a \/remoteDesktopGateway\/. Pri tom sa nepoužívajú štandardné GET\/POST dopyty, ale vlastný typ dopytu RDG_IN_DATA, RDG_OUT_DATA.
Nie veľa, ale predsa niečo.
Poďme testovať.
Spúšťam mstsc, idem na server, v logoch vidím štyri chyby 401 (neoprávnené), potom zadám login\/heslo a dostanem odpoveď 200.
Vypínam, spúšťam znova, v logoch vidím rovnaké štyri chyby 401. Zadám nesprávne login\/heslo a opäť vidím štyri chyby 401. To je presne to, čo potrebujem. Toto budeme zachytávať.
Keďže sa mi nepodarilo určiť login url a navyše neviem, ako v haproxy zachytiť priamo chybu 401, tak budem zachytávať (v skutočnosti nezachytávať, ale počítať) všetky chyby 4xx. To bude stačiť na riešenie úlohy.
Podstatou ochrany bude to, že budeme počítať počet chýb 4xx (na backend) za určitý čas a ak prekročí stanovený limit, tak odmietneme (na frontend) všetky ďalšie spojenia z tejto ip na určený čas.
Technicky to nebude ochrana proti uhádnutiu hesla, bude to ochrana proti chybám 4xx. Napríklad, ak sa často žiada neexistujúci url (404), ochrana sa aktivuje.
Najjednoduchší a fungujúci spôsob — na backend počítať a odfiltrovať, ak sa objaví čokoľvek navyše:
frontend fe_rdp_tsc
bind *:443 ssl crt \/etc\/haproxy\/cert\/desktop.example.com.pem
mode http
...
default_backend be_rdp_tsc
backend be_rdp_tsc
...
mode http
...
#vytvoriť tabuľku, reťazcovú, 1000 prvkov, platnosť po 15 sekúnd, zaznamenať počet chýb za posledných 10 sekúnd
stick-table type string len 128 size 1k expire 15s store http_err_rate(10s)
#zapamätať ip
http-request track-sc0 src
#zakázať s http chybou 429, ak za posledných 10 sekúnd je viac ako 4 chyby
http-request deny deny_status 429 if { sc_http_err_rate(0) gt 4 }
...
server rdgw01 192.168.1.33:443 maxconn 1000 weight 10 ssl check cookie rdgw01
server rdgw02 192.168.2.33:443 maxconn 1000 weight 10 ssl check cookie rdgw02
Nie je to najlepší variant, skomplikujeme to. Budeme počítať na backend, a blokovať na frontend.
S útočníkom sa budeme zaobchádzať hrubo, zrušíme mu tcp spojenie.
frontend fe_rdp_tsc
bind *:443 ssl crt /etc/haproxy/cert/ertelecom_sk_2020_06_11.pem
mode http
...
#vytvorte tabuľku ip adries, 1000 prvkov, vyprší po 15 sekúnd, uchovávať z globálneho počítadla
stick-table type ip size 1k expire 15s store gpc0
#vezmite zdroj
tcp-request connection track-sc0 src
#odmietnuť tcp spojenie, ak je globálne počítadlo >0
tcp-request connection reject if { sc0_get_gpc0 gt 0 }
...
default_backend be_rdp_tsc
backend be_rdp_tsc
...
mode http
...
#vytvorte tabuľku ip adries, 1000 prvkov, vyprší po 15 sekúnd, uchovávať počet chýb za 10 sekúnd
stick-table type ip size 1k expire 15s store http_err_rate(10s)
#príliš veľa chýb, ak počet chýb za 10 sekúnd presiahne 8
acl errors_too_fast sc1_http_err_rate gt 8
#označte útok v globálnom počítadle (zvýšte počet)
acl mark_as_abuser sc0_inc_gpc0(fe_rdp_tsc) gt 0
#nulujte globálne počítadlo
acl clear_as_abuser sc0_clr_gpc0(fe_rdp_tsc) ge 0
#vezmite zdroj
tcp-request content track-sc1 src
#odmietnuť, označiť ako útok
tcp-request content reject if errors_too_fast mark_as_abuser
#povoliť, resetovať označenie útoku
tcp-request content accept if !errors_too_fast clear_as_abuser
...
server rdgw01 192.168.1.33:443 maxconn 1000 weight 10 ssl check cookie rdgw01
server rdgw02 192.168.2.33:443 maxconn 1000 weight 10 ssl check cookie rdgw02
rovnaké, ale slušne, vrátime chybu http 429 (Príliš mnoho požiadaviek)
frontend fe_rdp_tsc
...
stick-table type ip size 1k expire 15s store gpc0
http-request track-sc0 src
http-request deny deny_status 429 if { sc0_get_gpc0 gt 0 }
...
default_backend be_rdp_tsc
backend be_rdp_tsc
...
stick-table type ip size 1k expire 15s store http_err_rate(10s)
acl errors_too_fast sc1_http_err_rate gt 8
acl mark_as_abuser sc0_inc_gpc0(fe_rdp_tsc) gt 0
acl clear_as_abuser sc0_clr_gpc0(fe_rdp_tsc) ge 0
http-request track-sc1 src
http-request allow if !errors_too_fast clear_as_abuser
http-request deny deny_status 429 if errors_too_fast mark_as_abuser
...
Kontrolujem: spúšťam mstsc a začínam náhodne zadávať heslá. Po tretej pokus za 10 sekúnd som odkopnutý a mstsc hlási chybu. Čo je vidieť v logoch.
Vysvetlenia. Nie som expert na haproxy. Nerozumiem, prečo, napríklad
http-request deny deny_status 429 if { sc_http_err_rate(0) gt 4 }
umožňuje spraviť približne 10 chýb, než sa spustí.
Mám zmatek v číslovaní čítačov. Experti na haproxy, budem rád, ak ma doplníte, opravíte, vylepšíte.
V komentároch môžete navrhnúť ďalšie spôsoby ochrany RD Gateway, bude zaujímavé študovať.
Pokiaľ ide o klienta vzdialenej pracovnej plochy Windows (mstsc), je potrebné poznamenať, že nepodporuje TLS1.2 (aspoň vo Windows 7), takže som musel nechať TLS1; nepodporuje aktuálne šifry, takže som tiež musel ponechať staré.
Pre tých, ktorí ničomu nerozumejú a len sa učia, a už chcú robiť dobre, uvádzam celý konfiguráciu.
haproxy.conf
global
log /dev/log local0
log /dev/log local1 notice
chroot /var/lib/haproxy
stats socket /run/haproxy/admin.sock mode 660 level admin expose-fd listeners
stats timeout 30s
user haproxy
group haproxy
daemon
# Predvolené umiestnenia SSL materiálov
ca-base /etc/ssl/certs
crt-base /etc/ssl/private
# Pozrite: https://ssl-config.mozilla.org/#server=haproxy&server-version=2.0.3&config=intermediate
#ssl-default-bind-ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384
ssl-default-bind-ciphers ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS
ssl-default-bind-ciphersuites TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
#ssl-default-bind-options ssl-min-ver TLSv1.2 no-tls-tickets
ssl-default-bind-options no-sslv3
ssl-server-verify none
defaults
log global
mode http
option httplog
option dontlognull
timeout connect 5000
timeout client 15m
timeout server 15m
errorfile 400 /etc/haproxy/errors/400.http
errorfile 403 /etc/haproxy/errors/403.http
errorfile 408 /etc/haproxy/errors/408.http
errorfile 500 /etc/haproxy/errors/500.http
errorfile 502 /etc/haproxy/errors/502.http
errorfile 503 /etc/haproxy/errors/503.http
errorfile 504 /etc/haproxy/errors/504.http
frontend fe_rdp_tsc
bind *:443 ssl crt /etc/haproxy/cert/dektop.example.com.pem
mode http
capture request header Host len 32
log global
option httplog
timeout client 300s
maxconn 1000
stick-table type ip size 1k expire 15s store gpc0
tcp-request connection track-sc0 src
tcp-request connection reject if { sc0_get_gpc0 gt 0 }
acl rdweb_domain hdr(host) -i beg dektop.example.com
http-request deny deny_status 400 if !rdweb_domain
default_backend be_rdp_tsc
backend be_rdp_tsc
balance source
mode http
log global
stick-table type ip size 1k expire 15s store http_err_rate(10s)
acl errors_too_fast sc1_http_err_rate gt 8
acl mark_as_abuser sc0_inc_gpc0(fe_rdp_tsc) gt 0
acl clear_as_abuser sc0_clr_gpc0(fe_rdp_tsc) ge 0
tcp-request content track-sc1 src
tcp-request content reject if errors_too_fast mark_as_abuser
tcp-request content accept if !errors_too_fast clear_as_abuser
option forwardfor
http-request add-header X-CLIENT-IP %[src]
option httpchk GET /
cookie RDPWEB insert nocache
default-server inter 3s rise 2 fall 3
server rdgw01 192.168.1.33:443 maxconn 1000 weight 10 ssl check cookie rdgw01
server rdgw02 192.168.2.33:443 maxconn 1000 weight 10 ssl check cookie rdgw02
frontend fe_stats
mode http
bind *:8080
acl ip_allow_admin src 192.168.66.66
stats enable
stats uri /stats
stats refresh 30s
#stats admin if LOCALHOST
stats admin if ip_allow_admin
Prečo sú dva servery na backend? Pretože takto môžete dosiahnuť odolnosť voči výpadkom. Haproxy môžete tiež nastaviť s dvojicou plávajúcej verejnej IP adresy.
Výpočtové zdroje: môžete začať s „dva gigabajty, dva jadrá, herný PC“. Podľa to bude viac než dostatočné.
Odkazy:
Zdroj: habr.com
