VPN SSL

Indiquez l’adresse que les utilisateurs devront utiliser pour joindre le firewall SNS afin d'établir les tunnels VPN SSL.

• Si vous renseignez une adresse IP, elle doit être publique, donc accessible sur Internet,

• Si vous renseignez un FQDN (exemple : ssl.company.tld), il doit être déclaré dans les serveurs DNS utilisés par le terminal client lorsque celui-ci est en dehors du réseau de l’entreprise. Si vous disposez d’une adresse IP publique dynamique, vous pouvez recourir aux services d’un fournisseur comme DynDNS ou No-IP. Dans ce cas, paramétrez ce FQDN dans le module DNS dynamique.

Sélectionnez l’objet représentant les réseaux ou machines qui seront joignables au travers du tunnel VPN. Cet objet permet de définir automatiquement sur le terminal client les routes nécessaires pour joindre les ressources accessibles via le VPN.

Des règles de filtrage (dans le module Filtrage et NAT) seront nécessaires pour autoriser ou interdire plus finement les flux entre les clients distants et les ressources internes.

Sélectionnez l’objet correspondant au réseau qui sera assigné aux clients VPN. La taille minimale du masque réseau est de /28. Vous pouvez assigner un réseau aux clients VPN en UDP et un autre pour ceux en TCP, mais ils doivent être différents. Le client VPN choisira toujours en premier le réseau UDP pour de meilleures performances.

Concernant le choix du réseau ou des sous-réseaux :

• Choisissez un réseau dédié aux clients VPN SSL et n’appartenant pas aux réseaux internes existants ou déclarés par une route statique sur le firewall. L’interface utilisée pour le VPN SSL étant protégée, le firewall détecterait alors une tentative d’usurpation d’adresse IP (spoofing) et bloquerait les flux correspondants,

• Choisissez des sous-réseaux peu communément utilisés (comme 10.60.77.0/24) afin d’éviter des conflits de routage sur les terminaux clients lors de la connexion au VPN. De nombreux réseaux d’accès à Internet filtrés (Wi-Fi public, hôtels) ou réseaux locaux privés utilisent déjà les premières plages d’adresses réservées.

Le nombre maximal de tunnels simultanés autorisés s'affiche automatiquement. Il correspond à la valeur minimale entre le nombre maximal de tunnels autorisés sur le firewall SNS et le nombre de sous-réseaux disponibles pour les clients VPN. Pour ce dernier, cela représente le quart du nombre d’adresses IP, moins 2. Un tunnel VPN SSL consomme 4 IP, mais le serveur réserve 2 sous-réseaux pour son propre usage.

Par défaut, le service VPN SSL écoute sur toutes les adresses IP du firewall SNS. Vous pouvez sélectionner l’objet représentant l'adresse IP utilisée pour établir les tunnels VPN SSL (UDP) notamment dans les cas suivants :

• L'adresse IP utilisée pour établir les tunnels VPN SSL (UDP) n'est pas l'adresse IP principale de l'interface externe,

• L'adresse IP utilisée pour établir les tunnels VPN SSL (UDP) est portée par une interface externe qui n'est pas en lien avec la passerelle par défaut du firewall.

Vous pouvez modifier les ports d’écoute du service VPN SSL en UDP et TCP. Certains ports sont réservés à un usage interne du firewall SNS et ne peuvent pas être sélectionnés. Si vous modifiez les ports par défaut, le VPN SSL pourrait ne plus être accessible depuis un réseau avec filtrage d’accès à Internet (hôtels, Wi-Fi public).

Le port 443 est le seul port inférieur à 1024 qui peut être utilisé.

Sélectionnez un script que le client VPN exécutera à l'ouverture du tunnel VPN. Exemple de script permettant de connecter le lecteur réseau Z: à un partage :

NET USE Z: \\myserver\myshare

Sélectionnez un script que le client VPN exécutera à la fermeture du tunnel VPN. Exemple de script permettant de déconnecter le lecteur réseau Z: d'un partage :

NET USE Z: /delete

Sélectionnez les certificats que le service VPN SSL du firewall SNS et le client VPN SSL doivent présenter pour établir un tunnel. Par défaut, l'autorité de certification dédiée au VPN SSL ainsi qu’un certificat serveur et un certificat client créés à l’initialisation du firewall sont proposés.

Si vous choisissez d'utiliser votre propre autorité de certification, vous devez créer une identité client et une identité serveur. S’il ne s’agit pas d’une autorité racine, les deux certificats correspondants doivent être issus de la même sous-autorité.