Protection des services VPN sur les routeurs Vigor en utilisant le port knocking

Le port knocking est une fonctionnalité de sécurité conçue pour protéger les services VPN des routeurs Vigor contre l'accès non autorisé. Elle opère en exigeant une séquence spécifique de "coups" - tentatives de connexion à des ports prédefinis - avant d'autoriser l'accès au port du service souhaité. Pour renforcer la sécurité, le routeur Vigor utilise TOTP (Time-Based One-Time Password) pour calculer les ports de coups, ce qui rend cette méthode dynamique et beaucoup plus difficile à deviner ou à reproduire.

Lorsqu'il est activé, le port knocking cache le port VPN du public jusqu'à ce que la séquence correcte de coups soit reçue. Ceci prévient efficacement les scans de ports non autorisés et réduit considérablement le risque d'attaques par force brute.

Modèles pris en charge et versions logicielles minimales :

Vigor3912, Vigor3910, Vigor2962 (version firmware 4.4.5)
Client SmartVPN Windows v5.7.1
Client SmartVPN Android v1.6.3 et versions ultérieures.
Client SmartVPN iOS v1.9.7 et versions ultérieures.

Note : Les connexions LAN-to-LAN et Host-to-LAN pour lesquelles l'adresse IP ou le nom de domaine du peer est spécifié dans la configuration du profil VPN ne sont pas soumises au mécanisme de port knocking.

Toutes les autres connexions entrantes VPN, y compris les connexions LAN-to-LAN et Host-to-LAN sans une adresse IP ou un nom de domaine spécifiés pour le peer, seront protégées par la fonctionnalité de port knocking.

Configuration du serveur VPN

1. Assurez-vous que l'heure système du routeur Vigor est correcte en navigant vers System Maintenance >> Time and Date. Si l'heure n'est pas correcte, cliquez sur Inquire Time pour la synchroniser. Une heure précise est essentielle pour que le port knocking basé sur TOTP fonctionne correctement.

2. Créez un profil de port knocking pour les services VPN en navigant vers NAT >> Port Knocking.

Donnez un nom au profil de service

Sélectionnez l'interface WAN

Entrez le premier port de coup

Ouvrez Google Authenticator sur votre téléphone ou exécutez DrayTek Portknock Tool sur votre ordinateur. Scannez le QRcode ou collez la clé TOTP dans l'application ou le outil pour obtenir le code de validation.

Entrez le code de validation et cliquez sur Verify.

Cliquez sur OK pour sauvegarder les paramètres.

3. Naviguez vers VPN and Remote Access >> Remote Access Control, et sélectionnez le profil port knocking pour les services VPN que vous souhaitez protéger. Tous les services VPN utiliseront le même profil de port knocking, permettant au client VPN de se connecter en utilisant différents protocoles VPN selon les besoins. Si EasyVPN/SSL VPN et HTTPS partagent le même port, la configuration définie sous System Maintenance >> Management >> Port Knocking pour Local Service sera suivie par le routeur.

Configuration du client VPN

1. SSL VPN depuis le client SmartVPN Windows

Modifiez un profil VPN existant et activez le port knocking. Entrez le premier port de coup et la clé TOTP.

Cliquez sur OK pour sauvegarder les modifications.

Activez l'option Connect.

Le client SmartVPN commencera à effectuer des coups.

Une fois réussi, le client SmartVPN établit un tunnel SSL VPN avec le routeur Vigor.

2. WireGuard VPN depuis l'application SmartVPN Android

Modifiez un profil de connexion existant ou ajoutez-en un nouveau. Fournissez un nom/description du profil, sélectionnez le type de connexion (EasyVPN (WireGuard) dans cet exemple), et entrez l'adresse IP ou le domaine du serveur VPN, ainsi que l'utilisateur et le mot de passe.

Activez l'option Utiliser le port knocking.

Entrez le premier port et collez la clé TOTP. (La clé TOTP peut être fournie par l'administrateur par courriel ou d'autres moyens.)

Appuyez sur SAVE pour appliquer les paramètres.

Cliquez sur Connecter. Une fois réussi, l'application SmartVPN établit un tunnel WireGuard VPN avec le routeur Vigor.

3. IKEv2 EAP VPN depuis l'application SmartVPN iOS

Ajoutez un nouveau profil de connexion. Sélectionnez IKEv2 EAP comme type de connexion, fournissez le nom du profil, puis entrez le nom de domaine du serveur, l'utilisateur et le mot de passe.

Activez le port knocking.

Entrez le premier port et collez la clé TOTP (La clé TOTP peut être fournie par l'administrateur par courriel ou d'autres moyens.)

Appuyez sur Save pour appliquer les paramètres.

Activez Enabled, puis allumez Status. Une fois réussi, l'application SmartVPN établit un tunnel IKEv2 EAP VPN avec le routeur Vigor.

4. Si la connexion VPN échoue, vérifiez les éléments suivants :

Vérifiez le tableau de statut des profils port knocking sur le serveur VPN pour voir si l'adresse IP du client apparaît.

Si l'IP n'est pas listée, le client ne recevra aucune réponse du serveur VPN.

Cela peut se produire en raison d'un changement dans l'adresse IP Internet du client, de restrictions du pare-feu bloquant les connexions TCP ou de problèmes similaires.

Si l'IP du client est listée mais qu'elle est indiquée comme "Knocking", cela signifie que la tentative de coup a échoué.

Dans ce cas, vérifiez l'heure système et les paramètres de clé TOTP sur le client et le serveur pour vous assurer qu'ils sont corrects.

Dans le tableau Unlock_Profiles :

L'état "loc" indique un service local (configuré sous System Maintenance >> Management).

Un état numérique (par exemple, "1", "2") fait référence à l'index du profil port knocking défini dans NAT >> Port Knocking.