Réseaux Privés Virtuels VPN Réseaux Privés Virtuels

Historique Les entreprises se servent de réseaux privés pour communiquer avec des sites distants et d’autres entreprises . Elles utilisent des lignes louées, sécurisées mais coûteuses. Les postes nomades accèdent à l’entreprise via des communications RTC ou NUMERIS peu rapide.

VPN La mise en place d’un VPN doit permettre des connexions distantes ( sites ou postes isolés ) sécurisées et surtout moins coûteuses puisque utilisant Internet. Problèmes : Comment séparer le trafic Internet et le trafic privé ? Comment garantir la confidentialité et l’intégrité des données échangées ?

Caractéristiques Le trafic doit être chiffré. Les sites sont authentifiés. Plusieurs protocoles doivent être gérés : http; smtp , netbios etc. La connexion est de type point à point.

Caractéristiques

Utilisateur à Site Le serveur VPN peut être : Le pare-feu de l’entreprise. Un serveur VPN séparé. L’utilisateur se connecte via Internet. Il initialise le VPN. Le serveur VPN authentifie l’utilisateur.

Utilisateur à Site

Utilisateur à Site Avantage : Inconvénient : Accès de n’importe où au prix d’une communication locale et/ou d’un abonnement FAI. Inconvénient : Le débit dépend de l’état de la connexion Internet. Sécurité accrue : Authentification forte , IP Fixes. Pas de NAT dynamique.

Site à Site Le VPN est réalisé entre des pare-feu et/ou des routeurs. Un des deux sites doit initialiser le VPN. Les sites s’authentifient par échange de certificats. Le VPN constitue un tunnel sécurisé.

Site à Site

Site à Site Avantages : Inconvénients : Les coûts Adressage IP des sites. Renforcement de la sécurité.

Normes Techniques Un VPN est composé de trois éléments : Le Serveur VPN Les algorithmes de chiffrement Le système d’authentification

Normes techniques Eléments à prendre en compte : Durée de protection des informations. Nombre de connexions utilisateurs simultanées Type de connexion : fixes ou itinérantes. Nombre de sites distants Volume du trafic à traiter ( applications ) Politique de sécurité de l’entreprise.

Le Serveur VPN C’est le point d’extrémité du réseau virtuel. Il doit être adapté à la charge. Il doit être situé sur le réseau à atteindre : Pare-feu Routeur Système autonome à l’intérieur d’une DMZ.

Le Serveur VPN

Le Serveur VPN

Chiffrement et Authentification Algorithme Fort Authentification physique : Adresse IP Authentification utilisateur forte : Mots de passes complexes, changés périodiquement. Cartes à puces ou biométrie.

Les produits VPN à base de firewall : VPN à base de routeur Cisco PIX, Watchguard, NetASQ etc. VPN à base de routeur VPN logiciels : Existent sous WinNT, Win2000 ou Linux Ex : Checkpoint VPN VPN par Windows 2000

VPN sous Windows 2000 Coté Serveur : Coté Client : S’installe à partir de la console Routage et Accès Distant se trouvant dans les outils d’administration. Utilise un trafic PPTP ou L2TP Mets en place des filtres sur les connexions rentrantes n’autorisant que ces 2 protocoles. Nécessite que l’on autorise les utilisateurs à se connecter à distance. Coté Client : Se configure comme une connexion réseau distante.

VPN sous Windows 2000 PPTP : Point-to-Point Tunneling Protocol Utilise le port TCP 1723 et le protocole IP ID 47 (GRE – Generic Routing Encapsulation) Utilise un cryptage MPPE sur 40, 56 ou 128 bits.

VPN sous Windows 2000 PPTP est un protocole de niveau 2 qui encapsule des trames PPP dans des datagrammes IP afin de les transférer sur un réseau IP. PPTP permet le cryptage des données PPP encapsulées mais aussi leur compression.

VPN sous Windows 2000 L2TP : Layer 2 Tunneling Protocol Utilise le port UDP 500 et les protocole IP ID 50 (IPSec ESP) et ID 51 (IPSec AH) Utilise un cryptage DES 56 bits ou Triple DES sur 112 bits. Utilise des certificats IPSec

VPN sous Windows 2000 Microsoft et Cisco, reconnaissant les mérites de deux protocoles L2F et PPTP , se sont associés pour créer le protocoles L2TP. On utilise souvent ce protocole pour créer des VPN sur Internet. Dans ce cas, L2TP transporte des trames PPP dans des paquets IP. Il se sert d'une série de messages L2TP pour assurer la maintenance du tunnel et d'UDP pour envoyer les trames PPP dans du L2TP.

VPN sous Linux FreesWan : CIPE : compatible avec les solutions commerciales de Checkpoint, CISCO et Radius. Gère les authentifications PSK, RSA et les certificats X509 et permet un chiffrement fort avec 3DES ou blowfish. CIPE : Authentification basée sur un échange préalable de clefs, PSK, et un chiffrement fort utilisant blowfish VPN construit sur UDP, ce qui le rend très facile à intégrer à des réseaux locaux distants protégés par des firewalls permetant la translation d'adresse