Comment améliorer la sécurité du réseau

Ce document présente plusieurs mesures de protection que vous pouvez mettre en place sur votre routeur Vigor pour assurer la sécurité du réseau, y compris comment bloquer les utilisateurs non autorisés et protéger le réseau local contre les menaces d'Internet.

Contenu

Protection de la sécurité du routeur
Sécurité du réseau local
Sécurité du réseau sans fil
Sécurité de l'accès à Internet

Protection de la sécurité du routeur

Changer le mot de passe par défaut et activer l'authentification à deux facteurs pour l'accès distant

Nombreuses sont les marques de routeurs qui utilisent un même mot de passe par défaut pour leur page d'administration. Assurez-vous donc de changer le mot de passe de votre routeur depuis la page System Maintenance >> Administrator Password et adoptez un mot de passe suffisamment fort.

L'authentification à deux facteurs peut ajouter une couche supplémentaire de sécurité lors de l'accès au routeur via Internet. Pour configurer cette fonctionnalité, consultez les guides suivants : Use 2-Step Authentication for Remote Access et Use TOTP for Remote Access, qui nécessitent non seulement le mot de passe d'administrateur mais aussi un code d'authentification envoyé à un récepteur spécifique ou une application générateur de mots de passe basée sur la date.

Mettre à jour régulièrement le firmware

Utilisez toujours la dernière version du firmware pour votre routeur Vigor et vos points d'accès Vigor afin que tous les correctifs de sécurité (et nouvelles fonctionnalités) soient inclus. Vous pouvez obtenir le dernier firmware à l'adresse suivante : https://www.draytek.com/support/resources?type=version

Configurer la liste d'accès pour l'accès de gestion

La liste d'accès est fortement recommandée lorsque la gestion depuis Internet est autorisée. Vous pouvez restreindre l'accès du routeur à un hôte spécifique en ajoutant celui-ci à la liste d'accès. À partir de la version 4.4.0, le routeur Vigor prend en charge les objets IP prédéfinis, les groupes IP et les noms d'hôtes dans la liste d'accès.

Désactiver les services VPN non utilisés

Les ports VPN sont ouverts lorsque les services VPN sont activés. Il est recommandé de désactiver ces services si vous ne les utilisez pas.

Utiliser les fonctionnalités du pare-feu pour protéger le service VPN en cours d'exécution.

Lorsque le serveur VPN sert des clients d'un pays spécifique, créez un objet pays et ajoutez des règles de pare-feu permettant l'accès au VPN uniquement à partir de ces IP.

Bloquer les IP inconnues par la défense contre les attaques DDoS >> liste noire.

Changer le port de gestion

Par défaut, le routeur Vigor utilise des ports connus pour son interface Web, l'interface en ligne de commande et d'autres services. Par conséquent, les clients LAN peuvent facilement accéder à la page de gestion du routeur dès qu'ils ont découvert l'adresse IP du routeur. Le changement du port de service rendra l'accès à la page de connexion un peu plus difficile. Vous pouvez configurer cela depuis System Maintenance >> Management.

Activer la protection contre les attaques par force brute

Une fois que vous avez atteint la page de connexion, même sans mot de passe d'administration, le pirate peut essayer chaque combinaison possible jusqu'à ce qu'il trouve le bon. L'activation de la protection contre l'attaque par force brute permet au routeur Vigor d'identifier les adresses IP qui ont échoué à se connecter trop souvent et de bloquer leurs tentatives de connexion pendant une période pénale, augmentant ainsi considérablement le temps nécessaire pour trouver le bon mot de passe.

Activer la frappe de port pour sécuriser l'interface de gestion

Lorsque les ports sont ouverts, ils sont à risque d'être attaqués. Vous pouvez donc activer la fonctionnalité de frappe de port depuis System Maintenance >> Management. Cela fermera tous les ports et définira un mot de passe basé sur la combinaison des ports. Seuls ceux qui connaissent le mot de passe pourront ouvrir les ports et se connecter.

Sécurité du réseau local

Mettre en œuvre VLAN pour les invités

La mise en place d'un VLAN dans le réseau local permet d'isoler les invités du réseau privé tout en leur fournissant une connexion Internet. De plus, le support de plusieurs sous-réseaux permet au réseau privé et au réseau des invités d'être sur différents sous-réseaux IP avec des paramètres DHCP ou des politiques distincts. Si vous avez un commutateur VLAN capable dans votre réseau, suivez le guide Use Multiple LAN Subnets with Tag-Based VLAN pour configurer les VLAN sur le routeur Vigor. Les multi-SSID du VigorAP peuvent également être mappés à différents VLAN, voir Add a Separate Wireless Network for Guests pour plus de détails.

Désactiver le serveur DHCP, changer la plage d'adresses IP et activer l'association stricte IP/MAC

Pour communiquer avec le routeur, les appareils doivent utiliser une adresse IP dans le même sous-réseau. Lorsque le DHCP est activé, le routeur attribue automatiquement des adresses IP valides aux appareils connectés.

Pour restreindre l'accès au réseau :

Désactivez le serveur DHCP et attribuez manuellement des adresses IP aux appareils autorisés.
Changez la plage d'adresses LAN pour rendre plus difficile l'identification du réseau par les hôtes non autorisés.
Activez Strict IP Bind MAC pour permettre uniquement à des adresses MAC enregistrées d'utiliser les IPs attribuées.

Les paramètres peuvent être configurés depuis LAN >> General Setup >> LAN1 Details Page et LAN >> IP Bind MAC

Désactiver les ports inutilisés sur les commutateurs

Un port Ethernet ouvert donne aux appareils malveillants un accès au réseau privé ; il est donc recommandé de désactiver les ports non utilisés dans la configuration du commutateur. Si vous utilisez un routeur Vigor qui prend en charge SWM (Gestion centrale des commutateurs) avec des VigorSwitches, vous pouvez consulter l'état des ports du commutateur depuis la page de gestion du routeur et désactiver directement les ports inutilisés.

Sécurité du réseau sans fil

Utiliser le mode WPA2 pour la sécurité

Comme le trafic sans fil est envoyé dans l'air, il peut être intercepté par quiconque se trouve à proximité ; assurez-vous donc d'appliquer des paramètres de sécurité pour chiffrer le trafic et contrôler l'accès au réseau local. Parmi WEP, WPA et WPA2, WPA2 est le protocole de sécurité le plus robust