Les informations des correspondants de type « passerelle »

Sélectionnez un correspondant dans la liste pour en afficher les informations.

Commentaire	Description associée au correspondant local.
Passerelle distante	Objet sélectionné pour caractériser l'adresse IP distante lors de la création du correspondant via l’assistant.
Adresse locale	Ce champ permet de sélectionner l'interface externe présentée pour établir le tunnel avec le correspondant affiché.
Profil IKE	Cette option permet de choisir le modèle de protection associé à la phase 1 de votre politique VPN, parmi les 3 profils pré-configurés : StrongEncryption, GoodEncryption, Mobile. Il est possible de créer ou de modifier d’autres profils au sein de l’onglet Profils de chiffrement.
Version IKE	Cette option permet de choisir la version du protocole IKE (IKEv1 ou IKEv2) utilisée par le correspondant.

Identification

Méthode d’authentification	Ce champ affichera la méthode d’authentification choisie lors de la création de votre correspondant via l’assistant. Vous pouvez modifier votre choix en sélectionnant une autre méthode d’authentification présente dans la liste déroulante. NOTE Pour un correspondant de type « passerelle », vous avez le choix entre Certificat ou Clé pré-partagée (PSK).
Certificat	Si vous avez choisi la méthode d’authentification par certificat, ce champ affiche le certificat à présenter au correspondant pour établir le tunnel IPsec. Vous pouvez choisir un certificat dont la clé privée est protégée par le TPM. Pour plus d'informations sur le TPM, reportez-vous à la section Trusted Platform Module. Si vous avez opté pour la clé pré-partagée, ce champ n'est pas affiché.
Local ID (Optionnel)	Ce champ représente une extrémité du tunnel VPN IPsec, partageant le « secret » ou la PSK avec le « Peer ID », autre extrémité. Le « Local ID » vous représente. Cet identifiant doit avoir la forme d’une adresse IP, d’un nom de domaine (FQDN ou Full Qualified Domain Name) ou d’une adresse e-mail (user@fqdn).
ID du correspondant (optionnel)	Ce champ représente une extrémité du tunnel VPN IPsec, partageant le « secret » ou la PSK avec le « Local ID », autre extrémité. Le « Peer ID » représente votre correspondant. Le format est analogue au champ précédent.
Clé pré-partagée (ASCII)	Dans ce champ apparaît votre PSK sous le format que vous avez choisi précédemment lors de la création du correspondant via l’assistant : caractères ASCII ou hexadécimaux (case à cocher au bas du champ si vous souhaitez en changer).
Éditer	Ce bouton permet de modifier directement la clé pré-partagée servant à établir le tunnel IPsec avec ce correspondant.

Configuration avancée

Ne pas initier le tunnel (Responder-only) :	Si vous cochez cette option, le serveur IPsec sera mis en attente. Il ne prendra pas l'initiative de négociation du tunnel. Cette option est utilisée dans le cas où le correspondant est un mobile.
Fragmentation IKE	Cette case permet d'activer la fragmentation IKE lorsque les paquets IKE dépassent la taille standard de paquets paramétrée sur le firewall.
DPD	Ce champ permet de configurer la fonctionnalité VPN dite de DPD (Dead Peer Detection). Celui-ci permet de vérifier qu’un correspondant est toujours opérationnel. Quand le DPD est activé sur un correspondant, des requêtes de test de disponibilité (R U there) sont envoyées à l’autre correspondant. Ce dernier devra acquitter la requête pour valider sa disponibilité (R U there ACK). Ces échanges sont sécurisés via les SAs (Security Association) ISAKMP (Internet Security Association and Key Management Protocol). Si on détecte qu’un correspondant ne répond plus, les SAs négociées sont détruites. IMPORTANT Cette fonctionnalité apporte une stabilité au service VPN sur les Firewalls Stormshield Network, à la condition que le DPD soit correctement configuré. Pour configurer l’option de DPD, quatre choix sont disponibles : Inactif : les requêtes DPD provenant du correspondant sont ignorées. Passif : les requêtes DPD émises par le correspondant obtiennent une réponse du firewall. Par contre, le firewall n’en envoie pas. Bas : la fréquence d’envoi des paquets DPD est faible, et le nombre d’échecs tolérés est élevé (delay 600, retry 10, maxfail 5). Haut : la fréquence d’envoi des paquets DPD est élevée et le nombre d’échecs est relativement bas (delay 30, retry 5, maxfail 3). La valeur delay définit le temps après une réponse avant l’envoi de la prochaine demande. La valeur retry, définit le temps d’attente d’une réponse avant la réémission de la demande. La valeur maxfail, c'est le nombre de demandes sans réponses avant de considérer le correspondant comme absent.
DSCP	Ce champ permet de préciser la valeur du champ DSCP affecté aux paquets réseau IKE émis à destination de ce correspondant. Sélectionnez l'une des valeurs proposées ou précisez un champ DSCP personnalisé (entier compris entre 0 et 63).
Encapsuler le trafic ESP dans UDP	Ce champ n'apparaît que lorsque la compatibilité avec le mode DR a été activée. Il permet d'activer / désactiver l'encapsulation du trafic ESP dans le protocole UDP pour chaque correspondant afin de suivre la recommandation de l'ANSSI.

NOTE
Pour chaque champ comportant la mention « Passerelle » et l’icône , vous pourrez ajouter un objet à la base existante en précisant son nom, sa résolution DNS, son adresse IP et en cliquant ensuite sur Appliquer.