Cấu hình quy tắc NAT Port Redirection (Port Forwarding) là cách phổ biến để cho phép các máy chủ nội bộ có thể được truy cập từ Internet. Tuy nhiên, khi cổng (port) được mở, nó cũng sẽ bị lộ ra Internet và có thể bị phần mềm độc hại (malware) quét tìm. Port Knocking là một công nghệ giúp bổ sung thêm một lớp bảo vệ cho các máy chủ nội bộ.
Ý tưởng cơ bản của Port Knocking là: chỉ những cổng đang mở mới có nguy cơ bị tấn công, vì vậy ban đầu tất cả các cổng đều được giữ ở trạng thái đóng. Sau đó, hệ thống sẽ thiết lập một "mật khẩu" dựa trên chuỗi gõ cổng (port combination). Chỉ những người biết đúng chuỗi này mới có thể mở cổng và kết nối đến máy chủ.
Vigor Router hỗ trợ Port Knocking kết hợp với TOTP trên các model sau:
- Vigor2136 / C510 / C410 firmware 5.3.5
Dưới đây là các bước cấu hình tính năng Port Knocking trên Vigor Router.
Dưới đây là các bước cấu hình tính năng Port Knocking trên Vigor Router.
- Truy cập công cụ DrayTek Portknock Tool
Mở trang DrayTek Portknock Tool
- Tạo User IAM
Thực hiện tạo user theo hướng dẫn: https://www.anphat.vn/quan-ly-thiet-bi-system-maintenance/drayos-5-tao-user-quan-tri-router-xac-thuc-2fa
- Tạo quy tắc Port Forwarding
Vào Configuration → NAT → Port Forwarding
Nhấn +Add để tạo một quy tắc Port Forwarding cho máy chủ nội bộ sẽ được truy cập sau khi Port Knocking thành công.
Ví dụ dưới đây sử dụng máy chủ WEB.
- Nhập tên cho profile.
- Bật Enabled.
- Chọn WAN Interface và WAN IP phù hợp. (Any: mặc định tất cả các WAN )
- Source IP: Any.
- Bật Enforce Port Knocking.
- Chọn Private IP Type phù hợp.
- Nhập địa chỉ IP của máy chủ nội bộ.
- Nhấn +Add
- Chọn Protocol (ví dụ TCP)
- Nhập Start và End cho dịch vụ
- Public Port: port dịch vụ bên ngoài truy cập
- Private Port: Port server sử dụng
- Nhấn Apply để lưu cấu hình.
- Thực hiện Port Knocking
Cách 1: dùng DrayTek Portknock
Truy cập trang DrayTek Portknock Tool , điền các thông tin như tên, IPWAN/ Domain , 1st Port. mã Secret và nhấn Knock Ports.
Công cụ sẽ tự động gửi chuỗi "gõ cổng" theo đúng thứ tự đã cấu hình.
Cách 2: dùng Smart VPN Client
Tham khảo hướng dẫn:
- Truy cập máy chủ
Sau khi Port Knocking thành công, thử kết nối đến máy chủ server
Khi một client mở khóa cổng thành công:
- Client đó hoặc bất kỳ client nào sử dụng cùng địa chỉ Public IP đều có thể truy cập.
- Phiên truy cập sẽ được duy trì trong 1 giờ.
- Sau khi hết thời gian này, cần thực hiện lại Port Knocking để mở cổng lần nữa.
- Kiểm tra các IP đã mở khóa
Vào Monitoring >> Port knocking Status
Hệ thống sẽ hiển thị danh sách các địa chỉ IP đã vượt qua quá trình xác thực Port Knocking.
