Prérequis

Les prérequis pour réaliser les manipulations de cette note technique sont les suivants.

Disposer d'un client VPN SSL compatible

Chaque poste de travail ou terminal mobile doit disposer d'un client VPN compatible pour établir des tunnels VPN SSL avec le firewall SNS. Les clients VPN compatibles sont :

Pour plus d'informations sur les versions et les systèmes d'exploitation compatibles des logiciels Stormshield, reportez-vous au Guide de cycle de vie Network Security & Tools.

Disposer d'un firewall SNS adapté

Le nombre maximal de tunnels VPN SSL autorisés par les firewalls SNS est différent selon le modèle utilisé. Choisissez un modèle adapté à vos besoins. Retrouvez cette information sur le site de Stormshield, rubrique Gamme produits (SNS) en sélectionnant votre modèle.

Avoir connecté le firewall SNS à un annuaire

Le firewall SNS doit être connecté à un annuaire pour afficher dans ses modules les listes d'utilisateurs et groupes d'utilisateurs. Ceci permettra de définir les utilisateurs et groupes d'utilisateurs autorisés à établir des tunnels VPN SSL.

Vérifiez cette connexion dans l'interface d'administration du firewall SNS dans Configuration > Utilisateurs > Authentification, onglet Méthodes disponibles. Une ligne LDAP doit apparaître dans la grille. Pour plus d'informations sur la configuration des annuaires, reportez-vous à la section Configuration des annuaires du manuel utilisateur de la version SNS utilisée.

Permettre aux utilisateurs d'accéder au portail captif du firewall SNS

Le portail captif du firewall SNS doit être activé et les utilisateurs qui se connecteront en VPN SSL doivent pouvoir y accéder. Cet accès permet notamment :

  • Aux clients VPN SSL Stormshield de récupérer leur configuration VPN SSL,
  • Au firewall SNS et aux clients VPN SSL Stormshield d'appliquer la politique de vérification de la conformité des postes clients dans le cas où un accès réseau Zero Trust est utilisé.

Vous pouvez vérifier la configuration du portail captif dans l'interface d'administration du firewall SNS dans Configuration > Utilisateurs > Authentification, onglets Portail captif et Profils du portail captif. Pour plus d'informations sur la configuration du portail captif, reportez-vous à la section Authentification du manuel utilisateur de la version SNS utilisée.

Cas de l'authentification multifacteur

Dans le cas où une authentification multifacteur pour les connexions VPN SSL est utilisée :

Pour une authentification multifacteur utilisant la solution TOTP Stormshield

Pour une authentification multifacteur utilisant une solution tierce et un serveur RADIUS

  • La solution d’authentification multifacteur choisie doit être déjà configurée,

  • Le serveur RADIUS permettant de faire le lien entre le firewall SNS et la solution d’authentification multifacteur choisie doit être déjà configuré.

Cas de la mise en œuvre d'un accès réseau Zero Trust (ZTNA)

Dans le cas où un accès réseau Zero Trust est utilisé :

  • Le firewall SNS doit être en version 4.8 ou supérieure,
  • Chaque poste de travail doit utiliser le client VPN SSL Stormshield en version 4.0 ou supérieure,

  • Le Client VPN SSL Stormshield doit être configuré en mode automatique.

NOTE
Un accès réseau Zero Trust (ZTNA) consiste à ne faire confiance aux utilisateurs et aux appareils qu’après leur vérification. On parle d'accès réseau Zero Trust (ZTNA) lorsque plusieurs composantes sont réunies :
  • Une garantie de la conformité du canal de communication grâce au chiffrement TLS des tunnels VPN,
  • Une vérification des utilisateurs grâce à l'authentification multifacteur (par exemple avec la solution TOTP Stormshield),
  • Une politique de vérification de la conformité des postes clients et des utilisateurs,
  • Un filtrage fin pour limiter l'accès des utilisateurs aux seules ressources nécessaires.

Les sections suivantes de cette note technique abordent la configuration de ces éléments. Il est indispensable de tous les configurer pour mettre en œuvre un accès réseau Zero Trust (ZTNA).