Повышение безопасности сервера RemoteApp

Ни для кого не секрет, что технология RemoteApp внедрённая в Windows 2008 это ответ Microsoft технологиям доступа к приложениям компании Citrix. Всё бы ничего, но для использования данной технологии в повседневной жизни, без наличия RD Gateway, нужен открытый наружу RDP Port tcp/3389. Наблюдая за своими терминальными серверами, я обнаружил что сервера постоянно подвергаются brute-force атакам подбора паролей различных пользователей.
Дабы не испытывать судьбу я немного модифицировал схему доступа к RDP.



Так как сервера в большинстве случаев находятся за роутером с которого пробрасывается порт на терминальный сервер, сделаем ход конём и будем динамически открывать порт 3389 для тех, кто корректно авторизовался.
Для этого правим файл Windows\Web\RDWeb\Pages\Default.aspx, добавляя ему внутрь некоторый новый функционал.

    void goToFolder(string getLangVal)
    {
        Response.Redirect(getLangVal + "/Default.aspx" + Request.Url.Query,true);
    }

    private float getInternetExplorerVersion()
    {
// Returns the version of Internet Explorer or a -1
// (indicating the use of another browser).
    float rv = -1;
    System.Web.HttpBrowserCapabilities browser = Request.Browser;
    if (browser.Browser == "IE")
      rv = (float)(browser.MajorVersion + browser.MinorVersion);
    return rv;
    }

    void Page_Load(Object sender, EventArgs e)
    {
	string UserIPAddress = Request.ServerVariables["REMOTE_ADDR"];
	string UserName = Request.ServerVariables["AUTH_USER"];
	string safeString = System.Security.SecurityElement.Escape(UserName);

	string url = "http://myrouter/cgi-bin/open.cgi?ip=" + UserIPAddress + "&user=" + safeString ;
	HttpWebRequest request = (HttpWebRequest)HttpWebRequest.Create(url);
            request.Accept = "text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8";
            request.AllowAutoRedirect = false;
            request.KeepAlive = true;
            HttpWebResponse response = (HttpWebResponse)request.GetResponse();


	double ver = getInternetExplorerVersion();
	if (ver > 0.0)
		{
			if (ver < 7.0) 
			Response.Redirect("TSWeb/Default.asp",true);
 		}
	else
		{
			Response.Redirect("Unsupported/Default.asp",true);
		}

      string langCode = null;
      System.Globalization.CultureInfo culture;

      // For each request initialize the culture values with
      // the user language as specified by the browser.

При загрузке страницы портала со списком Remote Application используется внутренняя аутентификация iis. Вышеуказанный скрипт выполнится только в случае корректной авторизации.

На роутере устанавливаем «net-mgmt/pftabled».
создаём ключ

dd if=/dev/random bs=20 count=1 | md5 | cut -c 1-19 > /etc/pftabled.key

и активируем сервис в rc.conf

pftabled_enable="YES"
pftabled_flags="-d -k /etc/pftabled.key -t 432000"

Далее поднимаем thttpd и создаём в cgi-bin скрипт open.cgi

#!/usr/bin/perl

use strict;
use warnings;
use CGI qw/:standard/;
use IO::Socket;
use Digest::HMAC_SHA1 qw(hmac_sha1);
use Net::SMTP;

use vars qw/%macs $pftabled $key %mac_ip/;

use constant PFTBLPORT => 56789;
use constant pfip => "127.0.0.1";

use constant PFTBLVERSION => 2;
use constant PFTABLED_CMD_ADD => 1;
use constant PFTABLED_CMD_DEL => 2;
use constant PFTABLED_CMD_FLUSH => 3;
use constant PFTBLCOMMAND => 1;
use constant PFTBLMASK => 32;
use constant SHA1_DIGEST_LENGTH => 20;
use constant PFTBLNAME => "RDP";
my $keyfile = "/etc/pftabled.key";

if (! -r $keyfile) {
  print STDERR "Cannot Read KeyFile $keyfile\n";
  exit 1;
  }
open(KEY, "<$keyfile");
  sysread KEY, $key, SHA1_DIGEST_LENGTH;
close KEY;

$pftabled = IO::Socket::INET->new(Proto     => 'udp',
  PeerPort  => PFTBLPORT,
  PeerAddr  => pfip)
  or die "Creating socket: $!\n";

#prepare struct for pftabled

  my $command = '1';
  my $iparray = param("ip");
#print @iparray;
  my $addr = inet_aton($iparray);
  my $time = time();
  my $block = pack("C1 S1 C1",PFTBLVERSION,$command,PFTBLMASK).$addr.pack("a32 N*",PFTBLNAME,$time);
  my $digest = hmac_sha1($block, $key);
  $block .= $digest;
  $pftabled->send($block);
  print header();


    my $smtp = Net::SMTP->new('mysmtpserver.mydomain.ru');
    $smtp->mail('[e-mail]');
    $smtp->to('[e-mail]');
    $smtp->data();
    $smtp->datasend("To: account_admin\@mydomain.ru\n");
    $smtp->datasend("Subject: Terminal server logon detected\n");
    $smtp->datasend("\n");
    $smtp->datasend("User ".param("user")." logged on from ".param("ip")."\n");
    $smtp->dataend();
    $smtp->quit;
exit(0);

Теперь можно поправить конфигурацию pf.

external_addr="1.1.1.1"
terminal_server_addr="192.168.1.1"
table <RDP> persist {  }
rdr on $ext_if proto tcp from <RDP> to $external_addr port 3389 -> $terminal_server_addr port 3389 # terminal
pass in on $ext_if proto tcp from <RDP> to { $external_addr, $terminal_server_addr } port { 3389 } flags S/SA keep state

При удачной аутентификации скрипту передаются имя зашедшего пользователя и IP адрес с которого осуществлялся запрос. Информация о IP адресе помещается в таблицу RDP и пользователь получает доступ к RDP подключению.
Включить windows аутентификацию на RDP сервере можно в файле C:\Windows\Web\RDWeb\Pages\Web.config

При желании можно задействовать custom errorpages и таким же образом блокировать адреса злоумышленников при нескольких неудачных попытках ввода логина пароля. Правда могут быть FP. Но без этого никуда не денешься.

Aborche 2013