Sécuriser les connexions de redirection de ports NAT par frappe de port

La configuration des règles de redirection de ports NAT est la méthode typique pour permettre l'accès aux serveurs internes depuis Internet. Cependant, une fois le port ouvert, il est exposé à Internet et peut être scanné par les malwares.

La frappe de port (port knocking) est une technologie qui ajoute un niveau supplémentaire de protection pour les serveurs internes. Son idée de base est que seuls les ports ouverts sont en danger d'être attaqués, donc elle permet de fermer tous les ports au début et ne les ouvre qu'après avoir reçu la bonne séquence de frappes.

Le routeur Vigor prend en charge la frappe de port avec TOTP. Les modèles supportés sont :

Vigor3912S fw 4.3.5.1
Vigor3910/ 2962 fw 4.4.3
Vigor2927/2865 fw 4.4.5.3
Vigor2136/ C510/ C410 fw 5.3.2*

Voici les étapes de configuration pour utiliser la fonctionnalité de frappe de port sur le routeur Vigor.

#### Étapes de configuration

1. S'assurer que le routeur a l'heure système correcte

Se rendre dans System Maintenance / Device Settings / Time et vérifier que le routeur est bien synchronisé avec une source d'horloge précise (par exemple, NTP).

2. Configurer une règle de frappe de port via NAT >> Port Knocking

Activer le profil
Sélectionner l'interface WAN et le Protocole
Entrer l'adresse IP du serveur, le port public et le port privé
Configurer le premier port de frappe
Scannez le QRcode avec un téléphone ayant Google Authenticator installé ou copiez la clé TOTP puis collez-la dans l'outil DrayTek PortKnocking Tool.
Entrez le code à 6 chiffres du téléphone dans le champ Validation Code sur la page Web du routeur, puis cliquez sur Vérifier.
Lorsque vous voyez le message "Vérification réussie", cliquez OK pour sauvegarder le profil.
Le réglage de délai d'inactivité des frappes de port est verrouillé à 3600 secondes et ne peut pas être modifié.

3. Essayer d'accéder au serveur via l'adresse IP WAN du routeur Vigor et le port TCP 52201

La connexion ne peut pas être établie car le port n'est pas ouvert.

4. Télécharger et exécuter l'outil DrayTek Port Knocking Tool sur l'ordinateur client

Entrez le nom du profil
Entrez l'adresse IP ou le domaine du serveur
Entrez le premier port de frappe
Collez la clé TOTP depuis l'étape 2.
Cliquez sur Knock Ports.

5. Après avoir déverrouillé les ports avec succès, le client peut accéder au serveur

La connexion établie ne sera pas interrompue même si les ports se verrouillent à nouveau.
Lorsqu'il n'y a plus de paquets ou de nouvelles sessions provenant de l'adresse IP du client et que le délai d'inactivité 3600 secondes est écoulé, le client doit utiliser l'outil pour déverrouiller la connexion à nouveau.

On peut voir les adresses IP qui ont réussi à déverrouiller le profil NAT Port Redirection via le tableau Statut. (disponible dans la version firmware 4.4.3.)

Le Syslog affichera les logs suivants lorsque le port est déverrouillé avec succès :

```

2023-10-17 05:36:54 [Port Unlock] P:6 220.132.88.33:42829->111.251.222.116:52201 #192.168.1.12:8080

```

6. Si plusieurs serveurs internes nécessitent une protection par frappe de port, sélectionnez Port Knocking comme option IP Source et attribuez le profil approprié dans les paramètres NAT Port Forwarding ou NAT Open Ports. Les serveurs seront alors accessibles après avoir frappé les ports corrects à l'aide d'un outil de frappe de port.