Bekijk Volledige Versie : Veiligheid RDP
Vanderblom
30/05/10, 20:44
Beste,
Ik beheer mijn server gewoon via een RDP sessie.
Is een RDP sessie wel veilig genoeg om zo je server te beheren ?
Het is heel simepl, 1 wachtwoord proberen en je komt rechtstreeks in de grafische interface van de server. Nu is de kans dat andere mijn wachtwoord weten wel heel erg minimaal maar het is maar 1 stap tot.
Ben benieuwd naar hoe de rest dit precies doet en hoe ik dit iets moeilijker kan maken zodat je meteen een RDP sessie kan starten naar enkel het IP adres in te typen.
Stefan
http://technet.microsoft.com/nl-nl/library/cc770833(WS.10).aspx
http://technet.microsoft.com/nl-nl/library/cc732713(WS.10).aspx
Zorg er in ieder geval voor dat TLS/SSL aanstaat, zodat je wachtwoord niet in plaintext over het net gaat. Ik zat laatst in zo'n trein met WiFi en ben eens aan het sniffen gegaan, de opbrengst was laat ik zeggen ruim...
Verder kun je met de ingebouwde firewall enkel poort 3389 voor bepaalde IP-adressen open zetten en kun je een lockdown mechanisme in werking stellen. Meer informatie daarover vindt je onder andere op: http://www.mobydisk.com/techres/securing_remote_desktop.html
Tim.Bracquez
30/05/10, 21:27
Zorg er in ieder geval voor dat TLS/SSL aanstaat
En ook niet zomaar een nieuw certificaat accepteren als je verbind en zelf weet dat er niets veranderd is...
*Randy stort zich op de zwarte markt van rooted-seedboxes verzameld via hotspots* :)
cyberbootje
31/05/10, 02:03
Eerst een mooie vpn sessie alvorens je rdp gaat doen is ook een goede.
Dan natuurlijk wel alleen het subnet/ip van de vpn toelaten op rdp en de rest blokken.
Nadeel: je moet een extra stap doen als gebruiker(ook weer een voordeel ergens...)
webstekker
31/05/10, 08:14
idd. Alleen via een VPN, nooit zomaar een kaal rdp'en. Zeker als je als administrator wilt inloggen. "Kale" rdp (via ssl) is eigenlijk alleen handig als je als gewone gebruiker inlogd.
Het RDP protocol is veilig zat, als je een moderne client/server gebruikt met versleuteling aan beide kanten.
Sowieso is het best practice het "Administrator" account te disablen.
Sowieso is het best practice het "Administrator" account te disablen.
So true. Ik zie wel eens paranoide handelingen. Poort 22 dicht, Poort 3389 dicht en vervolgens een zeer zwak wachtwoord. Zorg voor een sterk wachtwoord en zorg ervoor dat deze niet plaintext over je netwerk gaat, dan is er eigenlijk niets aan de hand, al heeft een afwijkend poortnummer - in ieder geval op linux - altijd nut voor de vele poortscanners die er zijn, scheelt toch een hoop gebash op sshd en troep in de logfiles.
Of je zet natuurlijk een complete PKI op met SecurID tokens van RSA :lovewht:
Volstaat het niet op SSL op de server te activeren voor RDP sessies?
Triloxigen
15/08/10, 10:56
Verander anders om te beginnen de poort van RDC. Dan kom je al weer stukje verder.
Mijn 2 dedicated servers met Windows 2k8 R2 proberen een hoop mensen de RDP te bruteforcen. IP adressen bannen lost niks op, aangezien ze erg variëren.
Is het niet mogelijk om RDP zo te instellen dat je na 5x foutief inloggen een tijdelijke ban krijgt of iets dergelijks? (Google leverde niet zoveel op helaas)
Ik heb daar uiteindelijk zelf een programmatje voor geschreven dat elke X seconden het eventlog uitleest en bij Y verkeerde logins binnen Z tijd het IP blocked. Een beetje zoals cfs/lfd dat doet dus. Voorlopig blocked hij ze wel enkel door het IP adres te routen naar localhost, dus niet door het toe te voegen aan de firewall (want de firewall op Win2003 kent enkel een allow op IP basis, geen deny). Misschien moet ik dat eens van onder het stof halen en geschikt maken voor de 2008.
Ik heb zelfs de firewall uitstaan (is een reden voor). Maar kan via een omweg alsnog IP adressen blokkeren voor de hele host. Maargoed, een auto-ban zou wel handig zijn.. :)
Of draai RDP gewoon op een andere poort?
Bruteforcen duurt eeuwen als je een goed wachtwoord hebt...
T. Verhaeg
20/08/10, 18:28
Ik heb daar uiteindelijk zelf een programmatje voor geschreven dat elke X seconden het eventlog uitleest en bij Y verkeerde logins binnen Z tijd het IP blocked. Een beetje zoals cfs/lfd dat doet dus. Voorlopig blocked hij ze wel enkel door het IP adres te routen naar localhost, dus niet door het toe te voegen aan de firewall (want de firewall op Win2003 kent enkel een allow op IP basis, geen deny). Misschien moet ik dat eens van onder het stof halen en geschikt maken voor de 2008.
Misschien leuk als je dat doet ja :thumbup:
Misschien leuk als je dat doet ja :thumbup:
ik schrijf me alvast in ;)
Leuk om te maken, ware het niet dat dit standaard al aanwezig is via de group Policy Editor.
Vanderblom
21/08/10, 21:50
Tevens heeft Windows zelf meen al iets om dit tegen te gaan door na paar foutieve logins het scherm om je wachtwoord weer in te typen even te vertragen met een 20 tal seconden.
Leuk om te maken, ware het niet dat dit standaard al aanwezig is via de group Policy Editor.
Randy, waar zit dat ergens? Bij account lockout policies kan je enkel een account blokkeren, niet een IP adres. Ook bij de Remote Desktop Session host onder Admin templates > Windows components kan ik zo niet direct iets terugvinden.