Comment bloquer une adresse IP inconnue qui envoie continuellement des demandes de connexion VPN au routeur Vigor ?

Sécurité

#### Comment bloquer une adresse IP inconnue qui envoie continuellement des demandes de connexion VPN au routeur Vigor ?

Le serveur VPN du routeur Vigor écoute toujours les ports VPN pour accepter les connexions entrantes depuis Internet. Parfois, on peut voir dans le journal Syslog que certaines adresses IP inconnues envoient continuellement des requêtes de connexion VPN au routeur Vigor sans qu'on puisse identifier l'interlocuteur distant. Cela est ennuyeux et pourrait présenter un risque pour la sécurité. Ce document explique comment bloquer une adresse IP inconnue qui envoie continuellement des demandes de connexion VPN au routeur Vigor.

Depuis la version 4.4.0 du firmware, le filtre local est pris en charge par le routeur Vigor et peut être appliqué directement à ce dernier. avec ce filtre local, il est possible de bloquer certaines adresses IP inconnues qui envoient continuellement des demandes de connexion VPN ou tentent d'accéder au routeur via la protocole HTTP. de plus, on peut également bloquer les IPs provenant de pays spécifiés pour prévenir une attaque par un IP spécifique.

#### Application 1 : Ajouter l'adresse IP inconnue dans la liste noire

1. Accédez à Firewall >> Defense Setup et activez Dos Defense.

2. Cliquez sur White/Black IP List Option.

3. Sélectionnez Log si vous souhaitez voir les entrées depuis Syslog Explorer.

4. Entrez l'adresse IP de l'interlocuteur distant et cliquez sur Ajouter pour ajouter cette adresse à la liste noire.

Note :

La Source IP prend en charge 4 options pour définir les propriétés d'une IP :

Une seule IP peut être entrée.
L'IP Object peut s'appliquer à un profil objet défini dans Objects Setting >> IP Object à l'avance.
IP Group peut s'appliquer à un groupe objet défini dans Objects Setting >> IP Group à l'avance.
Country Object ne peut s'appliquer qu'à un profil objet défini dans Objects Setting >> Country Object à l'avance.

Dans le Syslog, nous recevrons une alerte du routeur lorsque l'IP de la liste noire tente d'accéder.

#### Application 2 : Autoriser le service VPN depuis un pays spécifié

1. Accédez à Objects Setting >> Country Object pour créer un profil.

Donnez un nom au profil.
Ajoutez le pays que vous souhaitez autoriser.
Cliquez sur OK pour sauvegarder.

2. Accédez à Objects Setting >> Service Type Object pour créer un autre profil.

Donnez un nom au profil.
Choisissez le protocole utilisé par ce service.
Entrez le port que ce service utilisera dans Destination Port.
Cliquez sur OK pour sauvegarder.

Note :

Différents services utilisent des ports de service différents :

PPTP -> TCP 1723, GRE (protocole 47)
L2TP -> TCP 1701, UDP 500/4500
IPsec -> UDP 500/4500, ESP (protocole 50)
SSL -> TCP 443
OpenVPN -> TCP 443/1194, UDP 1194

(Facultatif) Si nous voulons bloquer de nombreux services, nous pouvons ajouter ces objets de service dans le Service Type Group.

1. Accédez à Firewall >> Filter Setup pour créer une règle qui bloque le service VPN depuis toute Source IP.

Activez cette règle.
Choisissez WAN->Localhost pour Direction.
Sélectionnez Any sur Source IP/Country.
Sélectionnez l'objet Service (ou Service Group) créé à l'étape 2 dans Service Type.
Choisissez Block si aucun autre match n'est trouvé. (Vérifiez Syslog pour afficher les journaux de cette règle.)
Cliquez sur OK pour sauvegarder.

Créez une autre règle pour autoriser le pays spécifié à utiliser ce service.

Activez cette règle.
Choisissez WAN->Localhost pour Direction.
Sélectionnez l'objet Country créé à l'étape 1 dans Source IP/Country.
Sélectionnez l'objet Service (ou Service Group) créé à l'étape 2 dans Service Type.
Choisissez Pass Immediately pour Filter. (Vérifiez Syslog pour afficher les journaux de cette règle.)
Cliquez sur OK pour sauvegarder.

Note :

Si le service est SSL VPN, veuillez changer le HTTPS Management Port du routeur. Sinon, la règle pare-feu bloquera également l'accès à la page WUI du routeur.

Dans le Syslog, nous verrons les journaux de pare-feu lorsque une IP de ce pays tente d'établir une connexion VPN.

#### Application 3 : Bloquer la connexion VPN par Protection contre les attaques par force brute

Le routeur Vigor prend en charge des options de serveur VPN dans la protection contre l'attaque par force brute, permettant aux utilisateurs de refuser les tentatives d'accès au compte VPN à partir d'une attaque par force brute.

1. Accédez à System Maintenance >> Management pour configurer la Protection contre l'attaque par force brute.

Activez la protection contre l'attaque par force brute.
Sélectionnez l'option serveur VPN.
Configurez le Nombre maximal d'échecs de connexion entre 1 et 255.

Note :

Configurez la Pénalité pour une période allant de 1 à 31536000 secondes (365 jours).

Dans le Syslog, nous verrons les journaux du pare-feu lorsque l'interlocuteur distant avec la même IP sera refusé par Protection contre l'attaque par force brute après avoir dépassé le nombre maximal d'échecs de connexion.

Pour apprendre comment utiliser l'utilitaire Syslog pour collecter le syslog, consultez l'article Collecter les journaux syslog du routeur.

Note :

Les routeurs DrayTek incluent les données GeoLite2 créées par MaxMind, disponibles à partir de https://www.maxmind.com.