Configurer le service VPN SSL

Indiquez l’adresse que les utilisateurs doivent utiliser dans leur client VPN SSL pour joindre le firewall SNS et établir des tunnels VPN SSL. Vous pouvez indiquer un FQDN ou une adresse IP.

• Pour un FQDN : il doit être déclaré dans les serveurs DNS utilisés par l'appareil de l'utilisateur. Si vous disposez d’une adresse IP publique dynamique, vous pouvez recourir aux services d’un fournisseur comme DynDNS ou No-IP. Paramétrez ensuite ce FQDN dans le module Configuration > Réseau > DNS dynamique.

• Pour une adresse IP : elle doit être publique, donc accessible sur Internet.

Sélectionnez l’objet représentant les réseaux ou machines qui seront joignables au travers du tunnel VPN SSL. Cet objet permet de définir automatiquement sur les appareils de votre organisation les routes nécessaires pour joindre les ressources accessibles via le tunnel VPN SSL.

Pour autoriser ou interdire plus finement les flux entre les appareils de vos utilisateurs et les ressources internes, vous devez créer des règles de filtrage (voir Configurer la politique de filtrage et de NAT).

Si des appareils de votre organisation sont situés entre le firewall SNS et les ressources internes mises à disposition, vous pouvez définir sur ces appareils des routes statiques d’accès au réseau attribué aux clients VPN SSL.

Sélectionnez l’objet correspondant aux réseaux UDP et TCP assignés aux clients VPN SSL. Choisissez le réseau ou sous-réseaux en fonction des critères suivants :

• La taille minimale du masque réseau est de /28.
• Si vous assignez deux réseaux, le client VPN SSL utilise toujours en premier le tunnel VPN SSL basé sur le protocole UDP pour de meilleures performances. Cet ordre est défini dans la configuration VPN SSL (OpenVPN) fourni par le firewall SNS aux clients VPN SSL.
• Le réseau assigné ne doit pas appartenir aux réseaux internes existants ou déclarés par une route statique sur le firewall SNS. L’interface utilisée pour le VPN SSL étant protégée, le firewall SNS détecterait alors une tentative d’usurpation d’adresse IP (spoofing) et bloquerait les flux correspondants.
• Pour éviter des conflits de routage, choisissez des sous-réseaux peu communément utilisés, comme 10.60.77.0/24, car de nombreux réseaux d’accès à Internet filtrés (Wi-Fi public, hôtels) ou réseaux locaux privés utilisent déjà les premières plages d’adresses réservées.

Sur les versions SNS 5 en configuration d'usine, la fonctionnalité d'accélération noyau DCO (Data Channel Offload) est activée par défaut. Cochez ou décochez la case pour activer ou désactiver cette fonctionnalité. Sur les versions SNS 4, cette fonctionnalité n'est pas disponible.

Cette fonctionnalité permet d'améliorer les performances des tunnels VPN SSL basés sur le protocole UDP. Elle n'est pas compatible avec les tunnels VPN SSL basés sur le protocole TCP.

Le client VPN SSL utilisé doit être compatible avec la fonctionnalité DCO pour bénéficier des améliorations. Concernant le client VPN SSL Stormshield :

• La version Windows bénéficie des améliorations.
• La version Linux bénéficie des améliorations seulement si OpenVPN est en version 2.6.0 ou supérieure et que le paquet openvpn-dco est installé.
• La version macOS ne bénéficie pas des améliorations.

NOTE
Lorsque vous activez la fonctionnalité DCO, un message peut s'afficher vous invitant à modifier la suite de chiffrement si celle utilisée est incompatible. Acceptez la modification pour activer la fonctionnalité.

Dans les cas suivants, vous devez sélectionner l’objet représentant l'adresse IP à joindre pour établir des tunnels VPN SSL en UDP :

• L'adresse IP à joindre n'est pas l'adresse IP principale de l'interface externe,

• L'adresse IP à joindre est portée par une interface externe qui n'est pas en lien avec la passerelle par défaut du firewall SNS.

Vous pouvez modifier les ports d’écoute du service VPN SSL. À noter que :

• Certains ports sont réservés à un usage interne du firewall SNS et ne peuvent pas être sélectionnés,
• Le port 443 est le seul port inférieur à 1024 qui peut être utilisé,
• Si vous modifiez les ports par défaut, le VPN SSL pourrait ne plus être accessible depuis un réseau avec filtrage d’accès à Internet (hôtels, Wi-Fi public).

Vous pouvez modifier le délai au terme duquel les clés utilisées par les algorithmes de chiffrement sont renégociées. Par défaut, ce délai est de 14400 secondes, soit 4 heures.

Pendant cette opération :

• Le tunnel VPN SSL ne répondra pas pendant quelques secondes.
• Si une authentification multifacteur est utilisée, l'utilisateur devra renseigner un nouveau code OTP ou approuver la nouvelle connexion sur son application tierce afin de rester connecté. Pour ce cas d'utilisation, il est recommandé d'augmenter le délai avant renégociation des clés pour l'aligner sur la durée moyenne d'une journée travaillée, par exemple à 28800 secondes, soit 8 heures.

Vous pouvez indiquer aux clients VPN SSL d'inscrire dans la configuration réseau du poste de travail (Windows uniquement) les serveurs DNS récupérés via le VPN SSL. Ceux déjà définis sur le poste de travail pourront être interrogés.

Sélectionnez le script à exécuter à l'ouverture du tunnel VPN SSL. Exemple de script permettant de connecter le lecteur réseau Z: à un partage :

NET USE Z: \\myserver\myshare

Sélectionnez le certificat souhaité.

L'icône indique les certificats dont la clé privée est protégée par le module TPM. Pour plus d'informations sur cette protection, reportez-vous à la note technique Configurer le module TPM et protéger les clés privées de certificats du firewall SNS.