主页 / server / 问题 / 548923
Accepted
holian
Asked: 2013-10-27 22:58:16 +0800 CST

通过 winbox 防止 mikrotik 路由器中的 RDP 登录蛮力

  • 772

大师们，

我需要帮助，如何配置我们的路由器以阻止 RDP 暴力攻击

我想将我们的路由器设置为仅允许来自指定国家/地区（我们指定的 IP 范围）的 RDP 连接，另外我需要将路由器设置为阻止（将 ips 列入黑名单）并将暴力尝试删除到指定的端口号。

我尝试通过将 ftp 端口更改为 rdp 端口​​来设置它。

http://wiki.mikrotik.com/wiki/Bruteforce_login_prevention_%28FTP_%26_SSH

任何建议tnx。

H

当前配置：

我尝试通过 Winbox 配置路由器。

我设置了一些 NAT 规则（从 dyndns 到本地地址，rdp 端口​​）

在过滤规则选项卡中：

在此处输入图像描述

  • 我不确定这个配置是否能解决问题？！内容文本“530 登录不正确”是否适合 RDP 连接？因为在教程中用于过滤FTP连接。
  • 如何设置路由器以允许来自指定 IP 范围的 RDP 尝试？

谢谢

// 新配置

在此处输入图像描述

router

1 个回答

  1. Best Answer

    FTP 配置实际上是在查看 FTP 数据以查看 530 代码。您需要调整 SSH 配置而不是 FTP 配置。尝试这个：

    add chain=forward protocol=tcp dst-port=3389 src-address-list=rdp_blacklist action=drop \
comment="drop rdp brute forcers" disabled=no

add chain=forward protocol=tcp dst-port=3389 connection-state=new \
src-address-list=rdp_stage3 action=add-src-to-address-list address-list=rdp_blacklist \
address-list-timeout=10d comment="" disabled=no

add chain=forward protocol=tcp dst-port=3389 connection-state=new \
src-address-list=rdp_stage2 action=add-src-to-address-list address-list=rdp_stage3 \
address-list-timeout=1m comment="" disabled=no

add chain=forward protocol=tcp dst-port=3389 connection-state=new src-address-list=rdp_stage1 \
action=add-src-to-address-list address-list=rdp_stage2 address-list-timeout=1m comment="" disabled=no

add chain=forward protocol=tcp dst-port=3389 connection-state=new action=add-src-to-address-list \
address-list=rdp_stage1 address-list-timeout=1m comment="" disabled=no

    这个配置的实际作用是，对于每次传入的尝试，它都会将 IP 地址添加到列表中。第一次添加到 stage1 时，如果 IP 仍处于 stage1 中（一分钟后）并且进行了另一次尝试，则将其添加到 stage2，然后再执行两次之后，将其添加到 rdp_blacklist 列表中它实际上被阻止了10天。

    如果您希望它或多或少具有侵略性，您可以更改列表超时，或者如果您愿意，甚至可以添加更多列表。

    您可以添加这些列表以仅允许特定的 IP 范围：

    add chain=forward dst-port=3389 src-address=192.168.0.0/24 action=accept
add chain=forward dst-port=3389 src-address=10.10.0.1/32 action=accept
add chain=forward dst-port=3389 action=drop

    只需在最终放置线之前添加所需的尽可能多的 src-address 行。如果你有很多范围，你可以创建一个地址列表并使用它来引用：

    add chain=forward dst-port=3389 src-address-list=rdp_acceptlist action=accept
add chain=forward dst-port=3389 action=drop

    然后将您的地址添加到 rdp_acceptlist

    要添加到 rdp_acceptlist，请使用以下命令：

    /ip firewall address-list add list=rdp_acceptlist address=192.168.0.0/24
    • 6

相关问题