Filtrer :

Démarrer la recherche

IMPORTANT
Les versions SNS 3.x ne sont plus maintenues depuis le 1er juillet 2024.
Nous vous recommandons de mettre à jour vos firewalls SNS vers une version maintenue afin d’assurer la protection de votre infrastructure.

# Utilisateurs mobiles (nomades)

Plusieurs tutoriels vous guident pas à pas pour la configuration d’une connexion sécurisée entre vos sites. Cliquez sur l'un des liens pour y accéder :

- VPN IPsec Mobile IKEv1 - Authentification par clé pré-partagée,
- VPN IPsec Mobile IKEv2 - Authentification par clé pré-partagée.

Le VPN IPsec comporte deux extrémités : l’extrémité de tunnel, et l’extrémité de trafic. Pour les anonymes ou utilisateurs nomades, l’adresse IP d’extrémité de tunnel n’est pas connue à l’avance.

L’adresse IP d’extrémité de trafic, quant à elle, peut être soit choisie par le correspondant (cas « classique »), ou distribuée par la passerelle (« Mode Config »).

Notez que depuis la version 3.8.0, il est possible de construire une politique IPsec nomade contenant plusieurs correspondants dès lors qu'ils utilisent le même profil de chiffrement IKE. En cas d'authentification par certificats, les certificats des différents correspondants doivent être issus d'une même CA.

## Ajouter

Sélectionnez la politique VPN dans laquelle vous désirez réaliser le tunnel. Des assistants de création de politique vous aiguillent dans cette configuration. Si vous souhaitez créer le correspondant nomade par l’assistant, reportez-vous à la section « Création de correspondant nomade » ci-dessous.

Pour les utilisateurs nomades, il est possible de définir des paramètres clients VPN (Mode Config) par l’assistant de création de politique Mode Config.

### Nouvelle politique

Cette politique rend accessible via un tunnel IPsec, les réseaux locaux aux utilisateurs autorisés. Dans cette configuration, les utilisateurs distants se connectent avec leur propre adresse IP.

Renseignez le correspondant nomade à utiliser. Puis, ajoutez dans la liste, les ressources locales accessibles.

### Nouvelle politique Mode Config

Cette politique avec Mode Config rend accessible via un tunnel IPsec, un unique réseau local aux utilisateurs autorisés. Avec Mode Config, les utilisateurs distants se connectent avec une adresse IP attribuée dans un ensemble défini en tant que "Réseau nomade".

Une fois créée, la cellule correspondant à la colonne Mode Config propose un bouton Modifier, vous permettant de renseigner les paramètres du Mode Config IPsec, décrits dans la section « La grille ».

Vous pouvez renseigner un serveur DNS particulier et spécifier les domaines d'utilisation de ce serveur. Ces indications sont par exemple, indispensables en cas d’utilisation d’un client mobile Apple® (iPhone, iPad). Cette fonctionnalité est couplée au mode Config, et n’est pas utilisée par tous les clients VPN du marché.

### Création de correspondant nomade

La procédure à suivre pour créer un correspondant par ces assistants, est décrite ci-dessous. Vous pouvez également le créer directement depuis l'onglet Correspondant.

1. Cliquez sur le bouton « Ajouter » une « Nouvelle Politique » VPN, puis sur « Créer un correspondant nomade » via l’assistant de politique VPN IPsec nomade.
2. Donnez un nom à votre configuration nomade, et cliquez sur Suivant.
3. Choisissez la méthode d’authentification du correspondant.

Certificat | Si vous optez pour cette méthode d’authentification, vous devrez ensuite choisir votre Certificat (serveur) à présenter au correspondant, parmi la liste de ceux que vous avez créé au préalable (Module Certificats et PKI). Vous pourrez également fournir l’« Autorité de confiance » (CA) ayant signé le certificat de votre correspondant afin qu'elle soit automatiquement ajoutée à la liste des autorités de confiance.
Hybride | Si vous optez pour la méthode hybride, vous devrez également fournir un « Certificat » (serveur) à présenter au correspondant et éventuellement, sa CA. L’authentification du serveur est faite par certificat durant la phase 1, et celle du client le sera par XAuth juste après cette phase 1.
Certificat et XAuth (iPhone) | Cette option permet aux utilisateurs mobiles (roadwarriors) de se connecter sur la passerelle VPN de votre entreprise via leur téléphone portable, à l’aide d’un certificat durant la phase 1. Le serveur est également authentifié par certificat pendant cette phase 1. Une authentification supplémentaire du client est effectuée par XAuth après la phase 1. NOTE C’est le seul mode compatible avec l’iPhone.
Clé pré-partagées | Si vous optez pour cette méthode d’authentification, vous devrez éditer votre clé dans un tableau, en fournissant son ID, et sa valeur à confirmer. Pour cela, cliquez sur Ajouter. L’ID peut-être au format IP (X.Y.Z.W), FQDN (monserveur.domain.com), ou e-mail (prenom.nom@domain.com). Il occupera ensuite la colonne « Identité » du tableau et la PSK occupera une colonne du même nom avec sa valeur affichée en hexadécimal. NOTE Pour définir une clé pré-partagée au format ASCII suffisamment sécurisée, il est indispensable de suivre les mêmes règles qu’un mot de passe utilisateur décrites dans la section Bienvenue, partie Sensibilisation des utilisateurs, paragraphe Gestion des mots de passe de l’utilisateur.

1. Cliquez sur Suivant.
2. Vérifiez l’écran de résumé de votre configuration nomade et cliquez sur Terminer.
3. Renseignez ensuite la ressource locale, ou « réseau local » auquel l’utilisateur nomade aura accès.

Vous pouvez également effectuer d’autres actions :

Rechercher | La recherche s’effectuera sur le nom de l’objet et de ses différentes propriétés, sauf si vous avez spécifié dans les préférences de l’application de restreindre cette recherche aux noms d’objet.
Supprimer | Sélectionnez le tunnel VPN IPsec à retirer de la grille et cliquez sur ce bouton.
Monter | Placer la ligne sélectionnée avant celle du dessus.
Descendre | Placer la ligne sélectionnée après celle du dessous.

## La grille

Ligne | Cette colonne indique le numéro de la ligne (1,2,3…) traitée par ordre d’apparition à l’écran
État | Cette colonne affiche l’état On/ Off du tunnel. Lorsque vous en créez un, celui-ci s’active par défaut. Cliquez deux fois dessus pour le désactiver.
| Pour faciliter la configuration du tunnel avec un équipement distant (passerelle ou client mobile), un clic sur cette icône affiche les différentes informations de la politique IPsec : Extrémités du tunnel : objet local / objet distant Extrémités du trafic : objet local / objet de destination Authentification : Mode / Type / Certificat / Clé pré-partagée Profils de chiffrement (phase 1 & 2) : algorithmes, groupe Diffie Helman, durée de vie Ces informations sont sélectionnables, ce qui permet leur copie.
Réseau local | Choisissez votre machine, groupes de machines, plage d’adresses, réseau ou groupe de réseaux qui sera accessible via le tunnel VPN IPsec, au sein de la liste déroulante d’objets.
Correspondant | Configuration de correspondant, visible au sein de l’onglet du même nom dans le module VPN IPsec.
Réseau nomade | Choisissez parmi la liste déroulant d’objets, votre machine, groupes de machines, plage d’adresses, réseau ou groupe de réseaux accessibles via le tunnel IPsec avec le correspondant. NOTE Lorsque vous créez une nouvelle politique VPN IPsec nomade via l’assistant, il vous est demandé de fournir le réseau local, et non le réseau distant, puisque l’adresse IP n’est pas connue. L’objet « Any » sera donc choisi par défaut.
Domaine (Annuaire) | Cette option permet de préciser le domaine (annuaire) sur lequel le correspondant nomade doit être authentifié. Un même utilisateur peut ainsi établir simultanément plusieurs tunnels VPN IPsec et accéder à des ressources distinctes en s'authentifiant sur des annuaires différents.
Groupe | Cette option permet de préciser le groupe de l'utilisateur au sein du domaine d'authentification. Un même utilisateur peut alors établir simultanément plusieurs tunnels VPN IPsec en s'authentifiant sur un ou plusieurs domaines, et accéder à des ressources distinctes en se voyant attribuer les droits propres au groupe précisé. Cette option nécessite de préciser le Domaine (Annuaire).
Profil de chiffrement | Cette option permet de choisir le modèle de protection associé à votre politique VPN, parmi les 3 profils pré-configurés : StrongEncryption, GoodEncryption et Mobile. Il est également de créer et de modifier d’autres profils au sein de l’onglet Profils de chiffrement.
Mode config | Cette colonne rend possible l’activation du « Mode config », désactivé par défaut. Celui-ci permet de distribuer l’adresse IP d’extrémité de trafic au correspondant. NOTES Si vous choisissez d’activer ce mode, vous devrez sélectionner un objet autre qu’« Any » en tant que réseau distant. Avec le mode config, une seule politique peut être appliquée par profil. Le bouton Modifier permet de renseigner les paramètres du Mode config IPsec, qui sont les suivants : Serveur DNS : ce champ détermine la machine (serveur DNS) qui sera utilisée par les clients mobiles, pour réaliser les résolutions DNS. Vous pouvez la sélectionner ou la créer dans la base d'objets. Par défaut, ce champ est vide. Liste des domaines utilisés en Mode config : le client utilisera le serveur DNS sélectionné précédemment, uniquement pour les domaines spécifiés dans cette grille. Pour les autres domaines, le client continuera à utiliser son/ses serveur(s) DNS système. Il s'agira donc généralement de noms de domaines internes. EXEMPLE Dans le cas du choix du domaine "compagnie.com", un iPhone par exemple, en joignant "www.compagnie.com" ou "intranet.compagnie.com" utilisera le serveur DNS spécifié plus haut. Cependant, s’il tente de joindre de joindre "www.google.fr", il continuera à utiliser ses anciens serveurs DNS.
Commentaire | Description associée à la politique VPN.
Keepalive | Pour activer cette option, affectez une valeur différente de 0, correspondant à l’intervalle en seconde, entre chaque envoi de paquet UDP.

NOTE
Vous ne pourrez utiliser et créer qu’une seule configuration nomade (« roadwarrior ») par profil IPsec. Les correspondants sont applicables à tous les profils. Par conséquent, un seul type d'authentification peut être utilisé à la fois pour la configuration nomade.

### Vérification en temps réel de la politique

L’écran d’édition des règles de politique IPsec dispose d’un champ de « Vérification de la politique » (situé en dessous de la grille), qui prévient l’administrateur en cas d’incohérence ou d’erreur sur une des règles créées.