Windows的IPBan无法获取VNC登录日志

nako

VNC版本6.3.2
Windows LTSC
https://github.com/DigitalRuby/IPBan

默认配置文件内容节选是：

1.       <!-- This group will notify login successes from VNC to Windows -->
   
2.       <Group>
   
3.         <Source>VNC</Source>
   
4.         <Keywords>0x80000000000000</Keywords>
   
5.         <Path>Application</Path>
   
6.         <Expressions>
   
7.           <Expression>
   
8.             <XPath>//EventID</XPath>
   
9.             <Regex>^257$</Regex>
   
10.           </Expression>
    
11.           <Expression>
    
12.             <XPath>//Data</XPath>
    
13.             <Regex>
    
14.               <![CDATA[
    
15.                 Authentication\spassed\sby\s(?<ipaddress>.+)
    
16.               ]]>
    
17.             </Regex>
    
18.           </Expression>
    
19.         </Expressions>
    
20.       </Group>

复制代码

默认配置不成功后我根据事件查看器更改了下ID和匹配内容

1.       <!-- This group will notify login successes from VNC to Windows -->
   
2.       <Group>
   
3.         <Source>VNC</Source>
   
4.         <Keywords>0x80000000000000</Keywords>
   
5.         <Path>Application</Path>
   
6.         <Expressions>
   
7.           <Expression>
   
8.             <XPath>//EventID</XPath>
   
9.             <Regex>^256$</Regex>
   
10.           </Expression>
    
11.           <Expression>
    
12.             <XPath>//Data</XPath>
    
13.             <Regex>
    
14.               <![CDATA[
    
15.                 Connections
    
16.               ]]>
    
17.             </Regex>
    
18.           </Expression>
    
19.         </Expressions>
    
20.       </Group>

复制代码

匹配内容还尝试过(Connections)或者Connections或者authenticated.*什么的，尝试连接VNC，IPBan日志还是没反应，求助大家，谢谢。


以下是Windows日志里的事件查看器内容：（下段xml复制粘贴后缩进有问题

1. - <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
   
2. - <System>
   
3.   <Provider Name="VNC Server" />
   
4.   <EventID Qualifiers="0">256</EventID>
   
5.   <Level>4</Level>
   
6.   <Task>1</Task>
   
7.   <Keywords>0x80000000000000</Keywords>
   
8.   <TimeCreated SystemTime="2021-03-18T08:17:26.387985300Z" />
   
9.   <EventRecordID>36464</EventRecordID>
   
10.   <Channel>Application</Channel>
    
11.   <Computer>abcde</Computer>
    
12.   <Security />
    
13.   </System>
    
14. - <EventData>
    
15.   <Data>Connections</Data>
    
16.   <Data>authenticated: 192.168.2.25::12811, as (anonymous) (d permissions)</Data>
    
17.   </EventData>
    
18.   </Event>

复制代码

nako

很少人用这个吗

nako

解决方案：调节VNC失败黑名单及黑名单超时时间