IPBanManager
→ Сайт проекта
Менеджер IPBan для Windows-серверов. IPBan следит за неудачными входами (RDP, SMB, SQL Server и др.) и банит адреса через брандмауэр Windows — а этот скрипт ставит, обновляет и настраивает его из одного меню, без ручной правки XML.
irm https://imiron.ru/IPBanManager/ipban.txt | iex
Вставить в PowerShell, запущенный от имени администратора. Ничего не устанавливается, кроме самого IPBan — и то только по пункту «Установить».
Запасной вариант — напрямую с GitHub: irm https://raw.githubusercontent.com/iMironRU/IPBanManager/main/IPBan-Manager.ps1 | iex
Содержание
Что умеет
- Установка в один пункт. Официальный установщик DigitalRuby, плюс то, что обычно забывают: включает аудит неудачных входов (без него IPBan ничего не видит), берёт в кавычки путь службы (уязвимость unquoted service path), предупреждает о конкурентах — RdpGuard, EvlWatcher, Syspeace, wail2ban и др.
- Обновление без потери настроек. Настройки менеджера хранятся отдельно от
ipban.config и накатываются на новый конфиг после обновления; старый конфиг сохраняется копией.
- Забаненные и разбан — на первом экране. Список колонками; разбан нескольких адресов сразу с ожиданием, пока служба действительно снимет бан, и предложением добавить их в белый список.
- Понятный белый список. Частные сети интерфейсов, активные RDP-сессии, свои IP, подсети, домены и URL списков — с проверкой ввода.
- Изменения видно до применения. Перед записью конфига показывается, что изменится:
да → нет, + добавится, - уйдёт. Отказались — ничего не сохраняется.
- Подхват чужой установки. Если IPBan уже стоит, его настройки импортируются как есть — белый список молча не расширяется.
- Меню стрелками. ↑/↓ и Enter, цифра — сразу пункт, Esc — назад.
Меню
IPBan Manager [установлен 4.1.0]
1) Установить
2) Обновить
3) Удалить
> 4) Настройки
5) Состояние
─────────────
6) Забаненные адреса
7) Разбанить IP
0) Выход
↑↓ — выбор, Enter — выполнить, цифра — сразу пункт, Esc — назад
| Пункт | Что делает |
|---|
| Установить | аудит входов → официальный установщик → кавычки в пути службы → применение настроек |
| Обновить | копия конфига → последний релиз → настройки поверх нового конфига |
| Удалить | служба, правила брандмауэра IPBan (баны снимаются), каталог; копия конфига остаётся |
| Настройки | попыток до бана, длительность бана, сброс счётчика, белый список, отправка банов в глобальную базу DigitalRuby, лог службы, «Сохранить и применить» |
| Состояние | версия и последний релиз, служба, число банов, брандмауэр, аудит, конкуренты, проблемы конфигурации |
| Забаненные адреса | все адреса из правил брандмауэра IPBan, по порядку |
| Разбанить IP | один или несколько адресов, с ожиданием снятия бана |
Время бана вводится по-человечески: 30m, 12h, 1d, 7d — или как в конфиге, DD:HH:MM:SS.
Белый список
Собирается из четырёх источников:
| Источник | Что попадает |
|---|
| loopback | 127.0.0.1, ::1 |
| сети интерфейсов | частные подсети сервера (RFC 1918, CGNAT). Публичный адрес — только сам /32, чтобы не открыть соседей по хостингу |
| RDP-сессии | адреса клиентов активных сессий с вошедшим пользователем — чтобы не забанить себя |
| ручной список | IP, подсети (10.0.0.0/8), доменные имена, URL текстового списка адресов |
Домены. Удобно для динамического IP: заведите, например, wl.example.ru с A-записями на все свои адреса и добавьте имя в список. IPBan сам перечитывает имена и URL раз в 5 минут — менять ничего на сервере не нужно.
[!WARNING]
Белый список IPBan — это разрешающее правило брандмауэра на все порты, а не просто «не банить». Кто может изменить DNS-запись из списка, тот может открыть себе сервер. Закройте DNS-аккаунт 2FA, а постоянный IP добавьте в список ещё и напрямую — на случай сбоя DNS.
[!NOTE]
RDP-адреса берутся через WTS API только у активных сессий, где пользователь вошёл. Просто открытые соединения на порт RDP не берутся: среди них боты, подбирающие пароль.
Без меню: автоматизация
iex "& {$(irm https://imiron.ru/IPBanManager/ipban.txt)} -Action Status"
-Action | Что делает |
|---|
Install | установить и применить сохранённые настройки |
Update | обновить до последнего релиза, настройки сохраняются |
Uninstall | удалить службу, правила брандмауэра, каталог |
Apply | применить сохранённые настройки к ipban.config и перезапустить службу |
Status | вывести состояние |
Официальный установщик DigitalRuby один раз спрашивает тип запуска службы — Install и Update остановятся на этом вопросе.
Где что хранится
| Путь | Что там |
|---|
%ProgramData%\IPBanManager\settings.json | настройки менеджера — переживают обновление и переустановку IPBan |
%ProgramData%\IPBanManager\ipban.config.before-update_* | конфиг перед каждым обновлением |
%ProgramData%\IPBanManager\ipban.config.uninstalled_* | конфиг при удалении |
C:\Program Files\IPBan\ipban.config.bak_* | копия перед каждым изменением, хранятся последние 5 |
Если рядом есть ipban.override.config, менеджер правит и его — иначе его значения перебили бы основные.
Требования
- Windows Server 2016 / Windows 10 и новее (ограничение самого IPBan)
- Windows PowerShell 5.1 или PowerShell 7
- права администратора
- доступ с сервера к
imiron.ru (скрипт) и GitHub (релизы IPBan)
Частые вопросы
Старые системы (Server 2016 / 2012 R2) по умолчанию не включают TLS 1.2. Допишите в начало строки:
[Net.ServicePointManager]::SecurityProtocol=3072; irm https://imiron.ru/IPBanManager/ipban.txt | iex
Файл хранится в UTF-8 без BOM — иначе не работал бы irm | iex. Windows PowerShell 5.1 читает такие файлы как ANSI, поэтому локально запускайте так:
iex (Get-Content .\IPBan-Manager.ps1 -Raw -Encoding UTF8)
В PowerShell 7 работает обычный .\IPBan-Manager.ps1.
GitHub Pages отдаёт .ps1 как application/octet-stream без кодировки, и Windows PowerShell 5.1 прочитал бы русский текст как Latin-1. .txt приходит с charset=utf-8. Внутри — тот же IPBan-Manager.ps1, сайт собирается из репозитория при каждом изменении скрипта. Скачать файл как есть: IPBan-Manager.ps1.
В PowerShell ISE и в удалённой сессии Enter-PSSession клавиши не перехватить — там пункт выбирается вводом номера. В обычной консоли и Windows Terminal работают стрелки.
Нет. Перед первым изменением он импортирует текущие значения как есть, а автоопределение сетей и RDP выключает, чтобы поведение не изменилось. Любое изменение конфига показывается заранее и требует подтверждения.
Лицензия
MIT. IPBan — отдельный проект DigitalRuby; этот репозиторий его не содержит и ставит официальный релиз.
