escritorio remoto y cortafuegos

[juanjo_16v]

Hola gente:

En un VPS que tengo contratado tengo una duda,
- En el cortafuegos he puesto la regla permitir el puerto 3389 TCP, perfil dominio, privado y publico,y en el ámbito 123.123.0.0/16 para poder acceder desde mi casa que tengo IP dinámica,
- También he configurado el enrutamiento para entrar con VPN

Y cual es mi sorpresa, que están atacando el servidor al escritorio remoto!!! Yo he intentado entrar desde otro equipo con IP publica distinta de 123.123.0.0/16 y no puedo, ni me da la opción de usuario y contraseña.

Como es posible?

[jmtella]

No es posible desde una IP fuera de ese rango. ¿Cómo sabes o como notas que lo están atacando?

[juanjo_16v]

En el cortafuegos tengo esta regla permitir el puerto 3389 TCP, perfil dominio, privado y publico,y en el ámbito 123.123.0.0/16 y también esta 192.168.99.0/24 (para poder acceder cuando me conecto con la VPN)

Pues ayer desde la IP 120.25.238.219 alguien intento entrar con la cuenta administrator

Eso lo he sacado del visor de eventos -> registro de seguridad

[jmtella]

No estará "además" activa una de las reglas de Windows las cuales permiten el escritorio remoto?... Revísalas.

[juanjo_16v]

Con el puerto 3389 solo tengo esa, antes había dos mas, pero las deshabilite.

Si que hay dos reglas que se llaman igual:
Escritorio remoto - instantánea (TCP de entrada): Regla de entrada para el servicio de Escritorio remoto para permitir instantáneas de una sesión existente de Escritorio remoto. (TCP de entrada)
una es para publico, y la otra para dominio y privado.

La cosa es que pruebo a conectarme desde diferentes IP y no me deja, pero no se porque se ha colado ese

[jmtella]

Con el puerto 3389 solo tengo esa, antes había dos mas, pero las deshabilite.

Si que hay dos reglas que se llaman igual:
Escritorio remoto - instantánea (TCP de entrada): Regla de entrada para el servicio de Escritorio remoto para permitir instantáneas de una sesión existente de Escritorio remoto. (TCP de entrada)
una es para publico, y la otra para dominio y privado.

La cosa es que pruebo a conectarme desde diferentes IP y no me deja, pero no se porque se ha colado ese

Un escritorio remoto debería ser por VPN... y si no, le cambiaria el puerto... nunca el estándar.

[juanjo_16v]

JM (y compañia) estoy tratando de hacerte caso pero no doy con la tecla, a ver si me puedes echar una mano.

Como te digo, el servidor es un VPS, yo no tengo ningún tipo de acceso a enrutadores, NAT,etc. Cuando quiero abrir algún puerto, lo abro desde el cortafuegos.

Entonces, la conexión de red me dice que red publica. He instalado el Acceso remoto, configurado solo para acceso remoto, como no tengo DHCP le he puesto dos IP (de la 192.168.1.1 a la 192.168.1.2, y como el servidor usas la primera pues solo tengo una),he abierto el puerto 1723 en el cortafuegos para el ámbito dominio (no tengo AD), privado y publico. Me conecto bien y demás pero la conexión RAS también me dice que es de tipo red publica.

Ahora voy a al firewall del escritorio remoto, hay tres ámbitos:
- Dominio: que no uso
- Privado: problema las dos conexiones son "red publica"
- Publica.

Si habilito el 3389 para dominio y/o privado solamente no puedo acceder. Si habilito también para el publico, pues es como si no tuviera nada (porque da igual que diga que solo se permite de una IP en concreto que en el registro de seguridad aparecen algún error de autentificación)

Se puede cambiar el tipo de red del RAS del VPN de publica a privada? si se pudiera cambiar simplemente,luego habilitando el escritorio remoto para las rede privadas funcionaria no?

Si no que hago?

Muchas gracias

[jmtella]

...

Se puede cambiar el tipo de red del RAS del VPN de publica a privada? si se pudiera cambiar simplemente,luego habilitando el escritorio remoto para las rede privadas funcionaria no?

gpedit.msc -> Windows Settings -> Security Settings -> Network List Manager Policies

[juanjo_16v]

Muchas Gracias!!!! Ya va