Protéger l'interface de gestion du routeur par port knocking

Port knocking est une technologie qui renforce la sécurité des routeurs en ajoutant un niveau supplémentaire de protection. Le concept principal est que seuls les ports ouverts sont vulnérables aux attaques. Pour y remédier, tous les ports restent fermés par défaut et l'accès est contrôlé à l'aide d'un "mot de passe" basé sur une séquence spécifique d'interactions port. Seules les personnes connaissant la séquence correcte peuvent ouvrir les ports et établir une connexion.

Le routeur Vigor prend en charge le port knocking avec TOTP pour ses services locaux. Les modèles pris en charge sont :

• Vigor3912S fw 4.3.6
• Vigor3910 / 2962 fw 4.4.3
• Vigor2927 / 2865 fw 4.4.5.3
• Vigor2136/ C510/ C410 fw 5.3.2*

*Support futur

Voici les étapes de configuration pour utiliser la fonctionnalité de port knocking sur le routeur Vigor.

1. Téléchargez le

DrayTek Port Knocking Tool

et exécutez-le sur l'ordinateur du client.

2. Connectez-vous à l'interface Web du routeur.

3. Accédez à System Maintenance >> Time and Date pour vous assurer que le routeur a la bonne heure système. Si l'heure n'est pas mise à jour correctement, corrigez-la.

4. Accédez à System Maintenance >> Management et sélectionnez Enable port knocking protection dans la zone Port Knocking for Local Service.

5. Les détails des configurations de port knocking seront affichés.

a. Sélectionnez les services locaux qui nécessitent une protection par port knocking.

b. Configurez le 1er port d'interaction.

c. Scannez le QR code avec l'application Google Authenticator installée sur votre téléphone, ou copiez la clé TOTP et collez-la dans le DrayTek Port Knocking Tool.

d. Entrez le nom du profil, le premier port d'interaction et collez la clé TOTP dans le DrayTek Port Knocking Tool. Un code de 6 chiffres sera généré. Cliquez sur Copier pour copier ce code.

e. Collez le code de 6 chiffres dans le champ Validation Code du routeur, puis cliquez sur Vérifier.

f. Une fois que le message "Vérification réussie." apparaît, cliquez sur OK pour sauvegarder la configuration.

Le paramétrage du port knocking sur le routeur Vigor est maintenant complet.

6. Essayez de vous connecter à l'interface de gestion du routeur via son IP WAN par la méthode de connexion que vous avez activée. La connexion ne sera pas établie car le port du service est fermé.

7. Continuez la configuration dans l'outil DrayTek Port Knocking Tool.

a. Entrez l'IP WAN ou le nom de domaine du routeur

b. Sélectionnez Plus d'options et entrez le port public et le protocole que vous souhaitez accéder.

c. Cliquez sur Knock Ports. L'outil frappera les ports du routeur selon la séquence.

8. Cliquez sur le lien Statut pour naviguer vers l'interface Web du routeur. Vous devriez maintenant voir la page de connexion web du routeur.

La configuration des règles NAT Port Redirection est généralement utilisée pour permettre aux serveurs internes d'être accessibles depuis Internet. Cependant, une fois le port ouvert, il est exposé à Internet et peut être scanné par les malwares.

Le port knocking est une technologie qui peut ajouter un niveau supplémentaire de protection aux serveurs internes. Son idée de base est que seuls les ports ouverts sont en danger d'être attaqués, donc elle permet de fermer tous les ports au début et ne pas les ouvrir avant de définir un mot de passe basé sur la combinaison des ports. Seules les personnes connaissant le mot de passe peuvent ouvrir les ports et se connecter.

Le routeur Vigor prend en charge le port knocking avec TOTP. Les modèles pris en charge sont :

• Vigor3912S fw 4.3.5.1
• Vigor3910/ 2962 fw 4.4.3
• Vigor2927/2865 fw 4.4.5.3
• Vigor2136/ C510/ C410 fw 5.3.5

Voici les étapes de configuration pour utiliser la fonctionnalité de port knocking sur le routeur Vigor.

1. Accédez à l'outil DrayTek Portknock Tool.

2. Connectez-vous à l'interface Web du routeur et accédez à System Maintenance / Device Settings / Time pour vous assurer que le routeur a la bonne heure système.

3. Accédez à IAM / Users & Groups / Users, cliquez sur +Add pour créer un profil d'utilisateur IAM.

• Entrez Nom d’utilisateur et Mot de passe
• Sélectionnez Router Management comme Utilisation
• Sélectionnez Administrator comme Rôle
• Activez MFA et sélectionnez TOTP comme méthode MFA
• Activez Port Knocking
• Entrez le Premier port d'interaction

4. Cliquez sur Apply pour poursuivre la configuration TOTP. Une fenêtre TOTP Secret apparaîtra - copiez le secret TOTP.

5. Accédez à la page Web de l'outil DrayTek Port Knocking Tool et collez le secret TOTP. Un code d'authentification de 6 chiffres sera généré.

6. Retournez à la fenêtre TOTP Secret, collez le code de 6 chiffres et cliquez sur Vérifier.

7. Attendez que le message OK apparaisse dans le coin supérieur droit pour indiquer que la configuration de l'utilisateur IAM est complète.

8. Connectez-vous avec le nouveau compte administrateur pour confirmer que la connexion avec TOTP est réussie.

4. Accédez à System Maintenance > Management > Service Control, activez Enforce Port Knocking et sélectionnez les Types de service à contrôler sous WAN Access Control.

5. Essayez de vous connecter à l'interface de gestion du routeur depuis Internet via son IP WAN par la méthode que vous avez activée. La connexion ne sera pas établie car le port du service est fermé.

6. Accédez à la page Web de l'outil DrayTek Port Knocking Tool et cliquez sur Knock Ports. L'outil frappera les ports du routeur selon la séquence.

7. Essayez d'accéder à nouveau à l'interface de gestion du routeur depuis Internet. Vous devriez maintenant voir la page de connexion Web du routeur.

Une fois que le client déverrouille avec succès les ports, ce client - ou tout autre client utilisant la même IP publique - pour

Captures d'écran