Quels ports sont ouverts sur mon réseau ? Comment le vérifier, et lesquels fermer
Ce qu'est un port ouvert, comment voir ceux qu'exposent la box, l'imprimante, le NAS et les PC, lesquels sont risqués sur un réseau domestique ou de petit bureau, et comment les fermer.
Ce qu’est vraiment un port ouvert
Chaque appareil du réseau peut proposer des services : une page web pour le configurer, le partage de fichiers, le bureau à distance, l’impression. Chaque service écoute sur un port numéroté : le web sur 80 et 443, le partage de fichiers sur 445, le bureau à distance sur 3389. Un port est ouvert quand quelque chose répond à cet endroit sur l’appareil.
Un port ouvert n’est pas un problème en soi. Votre imprimante doit répondre sur son port d’impression, et votre routeur doit répondre sur 53 pour résoudre les noms pour tout le monde. Le problème, c’est un port ouvert dont personne n’a besoin, ou un port qui offre un accès ancien, non chiffré ou protégé par un mot de passe facile à deviner. La plupart des intrusions dans les réseaux domestiques et de petits bureaux commencent exactement là : un service oublié, encore avec ses réglages d’usine.
De l’intérieur ou de l’extérieur : deux questions différentes
On peut regarder depuis deux endroits, et ils répondent à des questions différentes.
- Depuis votre réseau, vous voyez tout ce que chaque appareil offre aux appareils autour de lui : la page web de l’imprimante, les partages du NAS, le bureau à distance du PC. C’est ce que pourrait atteindre le téléphone d’un invité, ou une prise connectée compromise.
- Depuis internet, vous ne voyez que ce que votre routeur laisse passer : normalement rien du tout, sauf si quelqu’un a configuré une redirection de ports ou activé l’UPnP, qui permet aux appareils d’ouvrir eux-mêmes des ports sur le routeur.
Les deux comptent. Commencez par l’intérieur, car c’est là que se trouvent la plupart des surprises, puis vérifiez le routeur lui-même.
Comment vérifier de l’intérieur
Un scanner de ports frappe à une série de ports d’un appareil et note ceux qui répondent. Trois choix déterminent le temps que cela prend et ce qu’il trouve :
- La cible. Commencez par le routeur (la passerelle, en général
192.168.1.1ou192.168.0.1), puis les appareils qui comptent le plus pour vous : le NAS, les PC, les caméras. - Quels ports. Les quelques dizaines de ports courants couvrent presque tous les services que vous rencontrerez à la maison ou au bureau, en quelques secondes. La plage complète des ports connus, 1–1024, est plus complète. Une liste personnalisée sert quand vous cherchez quelque chose de précis.
- TCP et UDP. La plupart des services utilisent TCP, mais certains importants utilisent UDP — DNS, NTP, SNMP, NetBIOS — et beaucoup de scanners les ignorent. Un port UDP ne compte comme ouvert que si l’appareil répond vraiment ; un bon scanner envoie donc une vraie requête pour chaque protocole au lieu de deviner.
Les ports qui méritent attention
Sur un réseau domestique ou de petit bureau, ceux-ci méritent un second regard :
| Port | Service | Pourquoi c’est important |
|---|---|---|
| 21, 23 | FTP, Telnet | Anciens protocoles qui envoient les mots de passe en clair. Rarement nécessaires aujourd’hui. |
| 80 | Web non chiffré | Acceptable pour la page d’état d’une imprimante ; moins pour la page de connexion du routeur. |
| 445, 139 | Partage de fichiers Windows (SMB) | La voie classique par laquelle un logiciel malveillant passe d’un PC à l’autre. Limitez-le aux machines qui partagent vraiment des fichiers. |
| 3389 | Bureau à distance | Attaqué en permanence quand il est accessible depuis internet. En interne, gardez-le sur les PC qui en ont besoin. |
| 5900 | VNC | Prise de contrôle à distance, souvent avec un mot de passe faible ou absent. |
| 1900, 5000 | UPnP | Permet aux appareils d’ouvrir des ports sur le routeur tout seuls. |
| 161 | SNMP | Utile pour la supervision, mais avec la communauté par défaut public, n’importe qui sur le réseau peut lire l’appareil. |
| 554, 8000, 8080 | Caméras et pages d’administration | Les caméras et gadgets bon marché sont souvent livrés avec des mots de passe par défaut. |
Ce que vous cherchez, c’est une incohérence : un service sur un appareil qui n’a aucune raison de l’offrir, ou un service dont vous ignoriez l’existence.
Comment fermer ce qui ne sert pas
- Désactivez le service sur l’appareil lui-même. Un port se ferme quand plus rien n’y écoute : coupez Telnet sur le routeur, le partage de fichiers sur un PC qui ne partage rien, l’interface web d’une caméra que vous n’utilisez que via son app.
- Supprimez les redirections de ports que vous n’utilisez plus sur le routeur, et désactivez l’UPnP, sauf si une console ou une app en a vraiment besoin.
- Changez les mots de passe par défaut de tout ce qui garde ouverte une page d’administration ou un accès à distance : routeur, NAS, caméras, imprimantes.
- Mettez à jour le firmware : beaucoup d’anciens services sont corrigés ou supprimés dans les nouvelles versions.
- Placez les gadgets sur le réseau invités, si votre routeur en a un, pour qu’une caméra ou une prise connectée ne puisse pas du tout atteindre vos PC.
Puis relancez le scan. La liste devrait être plus courte, et chaque ligne devrait être quelque chose que vous savez expliquer.
Le faire avec NetBlade sur iPhone
NetBlade pour iPhone et iPad fait la vérification depuis votre poche, sans compte :
- l’onglet Ports analyse n’importe quel appareil : saisissez une adresse ou touchez Utiliser la passerelle pour le routeur, puis choisissez Courants, 1–1024 ou Personnalisé ;
- chaque port ouvert est présenté avec son service, une courte description et un niveau de risque, TCP et UDP côte à côte, avec de vraies sondes UDP pour DNS, NTP, TFTP, mDNS, NetBIOS et SNMP ;
- Rechercher les CVE à côté d’un port ouvre la National Vulnerability Database pour ce service ;
- dans l’onglet LAN, les détails de chaque appareil transforment ses ports ouverts en score de sécurité sur 100, avec un conseil pour chaque constat ;
- vous pouvez partager le résultat depuis la barre du haut.
Le scan des ports et le score de sécurité sont gratuits. Analysez une fois votre routeur et vos appareils les plus importants, fermez ce que vous ne reconnaissez pas et gardez le réseau enregistré : la prochaine fois que vous ouvrirez l’app, son historique vous montrera ce qui a changé.