Comment ouvrir les ports de votre box internet pour un TPE

Chez Make in Lab, nous vous parlons beaucoup de serveurs, de configurations, mais plus globalement de réseau. Cependant, nos tutoriels vous proposent souvent d'ouvrir des ports pour les services que nous vous présentons. Mais concrètement, comment faire ? Nous allons le voir dans cet article.

Qu'est‑ce qu'un port et pourquoi l'ouvrir ?

Un port est une voie de communication utilisée par les réseaux pour transmettre des données. Un port est une sorte de porte qui sert d'interface entre votre machine et internet. Lors des échanges, il faut savoir quelle application est le destinataire de l'information, c'est le numéro du port de destination qui le permet. Il existe un total de 65536 ports possibles.

Ouvrir un port sur votre routeur permet à des appareils externes d'accéder à certains services sur votre réseau local, comme un serveur web ou un jeu en ligne. Votre cam IP, votre NAS, certains logiciels de jeux vous demandent d'ouvrir un ou des ports de votre box/routeur pour la rendre visible depuis l'extérieur, c'est‑à‑dire depuis l'internet. Le but étant d'accéder de l’extérieur à votre matériel situé dans votre réseau personnel privé. Immédiatement, on comprend que tout cela doit être parfaitement sécurisé.

Principe de la redirection de ports (NAT)

Le routeur de la box se comporte comme un bouclier face au réseau Internet extérieur avec seulement quelques verrous ouverts et tous les autres fermés. Pour autoriser le trafic externe dans le réseau il faudra ouvrir certains ports du routeur, appelé redirection de ports. Rediriger un port, c'est donc ouvrir une porte (appelé port) vers un port d’un équipement se trouvant chez vous (LAN). Ces ports correspondent généralement à des applications ou des fonctions spécifiques.

Également appelé "règles NAT" (Network Address Translation), les redirections ont pour but de définir une règle de redirection de port sur la passerelle, redirigeant tous les paquets reçus sur son port 80 (ou autre) vers une machine spécifique. L'avantage du NAT est de protéger les machines du réseau privé d'attaques directes puisqu'elles ne sont en fait pas accessibles de l'extérieur.

Le routeur achemine la demande de communication de la combinaison d'une adresse IP et d'un numéro de port à un autre lorsque les paquets sont envoyés dans le réseau via la passerelle. En général, le port TCP 80 est utilisé dans la méthode de transfert de port pour les services Web afin que toutes les applications basées sur Internet puissent s'exécuter dessus.

Règles et bonnes pratiques avant de configurer

Ce numéro doit être disponible dans votre réseau local : c'est à dire que dans la liste des redirections de ports ce numéro n'est pas déjà configuré pour un autre appareil.
Si vous avez plusieurs appareils (ex caméras IP à installer) chaque matériel doit avoir son propre numéro de port externe. Si le port externe 8001 est choisi pour la première caméra, le port 8002 sera choisi pour la nouvelle caméra à configurer afin que chacune des deux caméras ait son propre numéro de port externe.
Indiquez le même numéro de port que le port de début pour le champ "Port de fin".
Port Interne ou LAN ou de destination : indiquez, par exemple le numéro de port utilisé par la caméra IP, souvent 80 ou 81.
Il est nécessaire d'attribuer une IP fixe ou statique "permanente" à votre matériel afin de s'y connecter à distance. On parle aussi de "bail statique" qu'il faut configurer dans l'interface de configuration de votre box routeur dans l'espace dédié au serveur DHCP.
Souvent le port interne est identique au port externe, cela permet d'éviter de compliquer la configuration.
Attention à ce que ces ports ne soient pas déjà ouverts et configurés sur le routeur (on ne peut avoir 2 fois un même port ouvert) si c'est le cas, il faudra en changer.

Ports typiques pour une caméra IP et un NAS

Pour une cam IP, voici les 3 ports traditionnels à ouvrir :

Port 80 (TCP) : accès à l’interface de configuration web. Il permet la diffusion de la vidéo. Modifiable via l'interface de configuration.
Port 5002 (TCP & UDP) : synchronise la transmission audio.
Port 5003 (TCP & UDP) : synchronise la transmission vidéo.

Pour accéder de l'extérieur à un NAS, port 80 (ou une caméra IP), il sera nécessaire de définir une règle de redirection de port sur la passerelle, redirigeant tous les paquets TCP reçus sur son port 80 vers la machine 192.168.1.4. Vous pouvez le modifier via les utilitaires logiciels de la caméra et choisir un port quelconque non utilisé.

Procédure générale pour ouvrir un port sur une box

Sur votre routeur (Freebox, Livebox…) récupérer l’adresse IP du périphérique concerné.
Dans les paramètres du routeur, trouver "Redirection de port" (ou équivalent selon votre box).
Créer une redirection de port.
Indiquer l’adresse IP de votre périphérique.
Choisir le bon protocole (Généralement TCP/UDP).
Indiquer les ports: Port externe : 80, Port interne 80 (exemple).

Le routeur me demande de sélectionner un appareil pour ouvrir le port. Dans la pratique, l’UPnP peut permettre à un appareil de demander à la Box d’ouvrir un port pour lui. Tailscale utilise l’UPnP pour ouvrir un port sur la Box. Normalement, c’est un protocole à désactiver pour des raisons de sécurité.

Cas particuliers et difficultés

La méthode diffère selon les routeurs que vous avez à la maison. Chacun de ces routeurs embarque un panneau d'administration web accessible via un navigateur sur un appareil connecté au réseau local. C'est grâce à ce panneau d'administration que nous pouvons gérer les ports de notre routeur. En revanche, la méthode diffère selon l'opérateur auquel vous êtes abonné.

La Box me demande de sélectionner un appareil pour ouvrir le port. En quoi est‑ce un problème ? L'IP 192.168.1.130 n'est liée à aucun appareil de mon réseau. S’en suit alors une série de recherches sur le net pour trouver une solution à mon problème.

Je me suis dit que je pouvais utiliser un appareil de mon réseau pour ouvrir le port et rediriger le trafic. Littéralement : installer un HAProxy sur une machine de mon réseau. Mais je n’ai pas envie de maintenir un HAProxy pour rien. Mon lab est volontairement minimaliste et je ne veux pas ajouter de composant inutile.

Une solution "possible" est d’installer une machine virtuelle pour lui attribuer l’IP 192.168.1.130 et ouvrir les ports 80 et 443 sur cette machine. Une fois que les ports sont ouverts, je stoppe la machine virtuelle et les ports devraient rester ouverts. J’ai commencé à mettre en place cette solution. J’ai récemment fait un article sur LXC, et je pourrais très bien créer un conteneur. C’est une solution scriptable et plutôt rapide à mettre en place.

En continuant mon script, je tente des choses au hasard et je décide d’ouvrir le code source de la page de configuration de la Livebox. Je vois une balise select listant les appareils de mon réseau, mais également les IPs de ces appareils. Puis-je réellement choisir l’IP de mon choix en modifiant le code source de la page ? Verdict : Je peux choisir l’IP de mon choix. Victoire ! Je peux enfin ouvrir les ports 80 et 443 de mon IP virtuelle !

Box 4G et CG‑NAT : pourquoi l'ouverture de port échoue souvent

De plus en plus d’abonnements avec une box 4G : les opérateurs proposent de plus en plus d’abonnements 4G à des prix de plus en plus attractifs. Sur le papier, cela peut grandement vous séduire, cependant, un point très important bloque un certain nombre d’utilisateurs qui se retrouve le bec dans l’eau. En effet, suite à la mise en place d’une box 4G, les utilisateurs hébergeant des services chez eux, peuvent dans certains cas ne plus accéder à leurs services depuis l’extérieur ! NAS, Serveurs, Boitiers domotique, Caméras se retrouvent alors enfermés dans votre réseau local, sans moyen d’y accéder depuis l’extérieur…

Lire aussi: Fiche INSEE : le guide

Pourquoi les opérateurs brident-ils l’ouverture de port sur les box 4G ? Tout simplement à cause de la pénurie des adresses IPv4... Le RIPE a annoncé officiellement être à court d’adresses IPv4. Les opérateurs doivent donc « économiser » un maximum l’utilisation des adresses IPv4 publiques, et ont donc mis en place le CG‑NAT.

Le CGNAT est le Carrier-Grade NAT, cela consiste à distribuer des IP privées à la place d’adresses IP publiques. Dans le cas des routeurs 4G, les opérateurs distribuent à votre routeur une IP privée, c’est‑à‑dire une IP non routable sur internet. C’est pour cela que lorsque vous essayez d’ouvrir un port sur votre box 4G, vous n’arrivez jamais à atteindre votre équipement.

Comment vérifier si votre routeur 4G utilise du CG‑NAT ? Pour vérifier si votre routeur utilise le CG‑NAT, il faut tout simplement vérifier son IP attribuée dans l’interface de la box. Si vous possédez une IP présente dans ces IP, cela signifie que vous êtes bien derrière un autre routeur et que l’ouverture de port est possible mais d’une autre manière.

Plages d'adresses privées à vérifier : 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16. Si vous possédez une adresse qui n’est pas dans ces tranches-là, cela signifie que l’IP de votre routeur est bien publique, et si l’ouverture de port ne fonctionne pas c’est qu’il y a un autre problème ailleurs, mais que ce n’est pas le CG‑NAT le problème.

Contournements du CG‑NAT pour accéder à vos services

Le premier contournement possible est de souscrire à un autre type d’abonnement dans lequel l’opérateur vous fournira une IP publique, le problème c’est que souvent ces abonnements sont très chers.

C’est pour cette raison que chez les clients, je mets en place deux types de contournement :

Mise en place d’un tunnel SSH.
Mise en place d’un serveur VPN.

Dans les deux cas, je recommande l’utilisation dans votre réseau d’un ordinateur dédié qui servira de passerelle. Dans de nombreux cas nous mettons en place un Raspberry Pi par exemple, qui répond très bien à ce type de besoin, les serveurs NAS peuvent également servir de passerelle. Si votre routeur le supporte, il peut également être connecté au serveur VPN qui sera à l’extérieur.

Avant d’expliquer en détail les deux types de contournement, vous vous demandez peut‑être pourquoi il y a besoin d’un VPS ? En fait, l’abonnement 4G vous prive d’une IP routable sur internet et justement le VPS va vous permettre de disposer d’une IP Publique sur laquelle on va pouvoir ouvrir des ports et rediriger le trafic sur vos équipements.

Tunnel SSH

Dans cette architecture, nous allons mettre en place un tunnel SSH entre le VPS extérieur et le PC derrière la box 4G. Une connexion est initiée de base depuis le PC afin de monter le tunnel SSH et des arguments dans la ligne de commande spécifient les numéros de ports que nous allons rediriger. Dès lors que le tunnel SSH est monté, il va alors être possible en activant sur le VPS l’option GatewayPorts, d’atteindre nos équipements derrière la box 4G, comme si nous avions réalisé l’opération directement sur le routeur 4G.

Afin que ce soit le plus transparent possible et qu’on n’ait même plus besoin d’y penser, je place pour ma part, un script de connexion dans un répertoire et je l’exécute à chaque démarrage de l’équipement afin que le tunnel soit en permanence actif.

Serveur VPN

Dans le cas d’un serveur VPN, la théorie est la même : un tunnel VPN sera monté entre le VPS et un PC derrière la box 4G. Alors n’oubliez pas d’être vigilant, et de choisir des mots de passe robustes sur vos systèmes accessibles depuis l’extérieur.

Dans tous les cas, il faut garder en tête que l’ordinateur chez vous qui va servir de passerelle, doit être toujours allumé, car s’il est éteint votre tunnel n’est plus opérationnel et par conséquent votre accès depuis l’extérieur non plus.

Conseils pratiques et retours d'expérience

L'idéal : tout le matériel concerné possède une IP fixe, que ce soit la box (le demander à votre FAI) ou les appareils concernés (Cam IP, NAS...). Ex : chez Free deux cam IP et un NAS Synology ont désormais une IP fixe.

Pour connaître le port par défaut de votre caméra IP : vous pouvez vous référer au manuel du matériel (souvent port 80 ou 81 ou...). Il est souvent préconfiguré par défaut sur l'interface de la cam IP. Toutefois, vous pouvez changer le numéro de port de la caméra si vous le souhaitez en vous connectant à l'interface d'administration de celle-ci.

Si vous possédez un routeur 4G et vous souhaitez savoir comment ouvrir des ports sur une box 4G : vérifier d'abord si vous êtes derrière un CG‑NAT, sinon pensez à la solution du VPS + tunnel (SSH ou VPN) ou à une offre opérateur avec IP publique.

Il n'y a aucune modification à faire sur Freebox OS dans certains cas : j'ai dû louer une passerelle via un marchand, pour 6 € HT/mois. Ils m'ont donné une adresse IP, un port et protocole SSL valide. Et ça marche. Il n'y a aucune modification a faire sur os Freebox, ni ouvrir un port. Voilà la fin de mes aventures, si cela peut aider quelqu'un d'autre.

Tableau récapitulatif : actions avant ouverture de port

Action	Détail
Vérifier IP publique	Contrôler dans l'interface de la box si IP appartient aux plages privées (CG‑NAT)
Attribuer IP fixe	Configurer bail DHCP statique pour l'appareil (Cam, NAS, TPE)
Choisir ports	Ports externes uniques, ne pas réutiliser un même port
Sécurité	Utiliser mots de passe robustes, désactiver UPnP si non nécessaire
Contournement CG‑NAT	VPS + SSH tunnel ou VPS + VPN (serveur toujours allumé)

⚓ COMMENT OUVRIR DES #PORTS SUR UNE #LIVEBOX ? (ou routeur)

J'espère que ces explications vous aideront à configurer correctement l'accès distant de votre TPE, NAS, cam IP ou autre matériel. Restez vigilants sur la sécurité et adaptez la solution (redirection directe, tunnel SSH, VPN) selon votre situation réseau et votre opérateur.

balises: