AD FS a zakázané IP adresy

Služba AD FS ve Windows Serveru 2016 zavedla zakázané IP adresy jako součást aktualizace služby AD FS z června 2018. Tato aktualizace umožňuje nakonfigurovat sadu IP adres globálně ve službě AD FS, aby se požadavky přicházející z těchto IP adres zablokovaly. Služba AD FS blokuje také požadavky, které mají IP adresy v hlavičce x-forwarded-for nebo x-ms-forwarded-client-ip .

Přidání zakázaných IP adres

Pokud chcete do globálního seznamu přidat zakázané IP adresy, použijte následující rutinu PowerShellu:

PS C:\ >Set-AdfsProperties -AddBannedIps "1.2.3.4", "::3", "1.2.3.4/16"

Povolené formáty jsou následující:

• protokol IPv4
• protokol IPv6
• Formát CIDR s protokolem IPv4 nebo v6

Pro zakázané IP adresy platí limit 300 položek. K odepření velkého bloku položek s jedinou položkou můžete použít formát CIDR nebo rozsahu.

Odebrání zakázaných IP adres

Pokud chcete odebrat zakázané IP adresy z globálního seznamu, použijte následující rutinu PowerShellu:

PS C:\ >Set-AdfsProperties -RemoveBannedIps "1.2.3.4"

Čtení zakázaných IP adres

Pokud chcete přečíst aktuální sadu zakázaných IP adres, použijte následující rutinu PowerShellu:

PS C:\ >Get-AdfsProperties

Příklad výstupu:

BannedIpList                   : {1.2.3.4, ::3,1.2.3.4/16}

Související odkazy

osvědčené postupy pro zabezpečení služby Active Directory Federation Services

Set-AdfsProperties

Operace AD FS