 |
- Home - News - Conseils - Sécurité - Mise à jour - Liens - Accès - |
|
Scénario de gestion de réseau privé virtuel Windows 2000 (article Microsoft)
Le fait d’utiliser des réseaux publics et privés en vue de créer une connexion réseau s’appelle "réseau privé virtuel" (de l'anglais VPN, Virtual Private Network). Dans ce scénario, la société fictive Electronic a déployé les technologies de réseau privé virtuel Windows 2000 Point-to-Point Tunneling Protocol (PPTP) et L2TP (Layer 2 Tunneling Protocol) en vue de créer des solutions de connectivité d’accès distant sécurisées entre les succursales et les partenaires commerciaux. Ce livre blanc décrit la conception et la configuration du réseau privé virtuel de la société Electronic et l’infrastructure de connexion d’accès distant. Sommaire
IntroductionCe livre blanc décrit la façon dont les scénarios de réseaux privés virtuels standard sont configurés pour une société fictive avec le système d’exploitation Windows 2000. Même si la configuration de votre réseau est différente de celles qui sont décrites dans ce livre, vous pouvez toujours appliquer les concepts de base des réseaux privés virtuels à votre environnement réseau. Le fait d’utiliser des réseaux publics et privés en vue de créer une connexion réseau est décrit par le terme de "réseau privé virtuel" (de l'anglais VPN, Virtual Private Network). Un réseau privé virtuel (VPN) est l’extension d’un réseau privé qui inclut les liaisons avec des réseaux partagés ou publics tels qu’Internet. Avec un réseau VPN, vous pouvez transmettre des données entre deux ordinateurs par le biais d’un réseau partagé ou public en émulant une liaison privée point à point. La mise en place d'un réseau privé virtuel consiste à créer et à configurer un réseau privé virtuel. Pour émuler une liaison point à point, les données sont encapsulées ou enroulées, avec un en-tête contenant les informations de routage et permettant aux données de traverser le réseau partagé ou public pour atteindre son point d’arrêt. Pour émuler une liaison privée, les données sont cryptées en vue d’assurer leur confidentialité. Les paquets qui sont interceptés sur le réseau partagé ou public sont indéchiffrables sans les clés de cryptage. La liaison dans laquelle les données privées sont encapsulées et cryptées est une connexion de réseau privé virtuel (VPN). Electronic est une société fictive de conception et de fabrication de composants électroniques dont le siège social se situe à New York et dont les succursales et partenaires de distribution se trouvent aux Etats-Unis. Electronic a mis en œuvre une solution VPN avec le système d’exploitation Windows 2000 pour connecter les utilisateurs d’accès distant, les succursales et les partenaires commerciaux. Le serveur VPN installé au siège de la société procure à la fois des connexions VPN d’accès distant et de routeur à routeur PPTP et L2TP. En outre, le serveur VPN fournit le routage des paquets vers des emplacements d’intranet et d’Internet. Basés sur la configuration commune du serveur VPN, les scénarios de réseau privé virtuel suivants sont décrits :
Les exemples de société, d’organisation, de produit, de personne et d’événement décrits dans ce document sont fictifs. Toute ressemblance avec une société, une organisation, un produit, une personne ou un événement réel est fortuite. Configuration commune pour le serveur de réseau privé virtuel (VPN)Pour déployer une solution de réseau privé virtuel (VPN) pour la société Electronic, l’administrateur réseau procède à une analyse et prend des décisions relatives à sa conception :
Configuration du réseauLes éléments principaux de la configuration réseau sont présentés ci-dessous :
La figure 1 présente la configuration réseau du serveur VPN d’Electronic.
Figure 1 Configuration réseau du serveur VPN d’Electronic. Basée sur la configuration réseau de l’intranet du siège social de la société Electronic, la configuration du serveur VPN est la suivante :
Configuration de la stratégie d’accès distantElectronic a migré vers un domaine en mode natif Windows 2000 et l’administrateur réseau d’Electronic a opté pour un modèle administratif de stratégies d'accès. L’autorisation d’accès distant sur tous les comptes d’utilisateur est définie sur Contrôler l’accès via la Stratégie d’accès distant. L’obtention d’autorisation d’accès distant pour les tentatives de connexion est contrôlée par le paramètre d’autorisation d’accès distant sur la première stratégie d’accès distant correspondante. Les stratégies d’accès distant sont utilisées pour appliquer différents paramètres de connexion VPN en fonction de l’appartenance aux groupes, et la stratégie d’accès distant par défaut intitulée Permet l'accès si l'autorisation d'entrée est activée est supprimée. Pour plus d’informations, reportez-vous à la rubrique "Modèles administratifs de stratégie d'accès distant" dans l'Aide de Windows 2000 Server. Configuration des domainesPour tirer parti de la possibilité d’appliquer différents paramètres de connexion à différents types de connexion VPN, les groupes Windows 2000 suivants sont créés :
Remarque Tous les utilisateurs et les groupes de ce scénario sont créés dans le domaine Active Directory™ electronic.microsoft.com . Configuration de la sécuritéPour activer les connexions L2TP sur IPSec et l’utilisation des cartes à puce par les clients d’accès distant, le domaine Electronic est configuré pour attribuer automatiquement des certificats à tous les membres du domaine. Pour plus d’informations, reportez-vous à la procédure figurant à l’Annexe A, "Configurer l’attribution automatique de certificats". Accès distant au VPN pour les employésL’accès distant pour les employés d’Electronic est déployé au moyen des connexions VPN d’accès distant sur Internet, en fonction des paramètres configurés dans la section "Configuration commune pour le serveur de réseau privé virtuel (VPN)" plus haut dans ce livre blanc, et des paramètres supplémentaires suivants. La figure 2 présente le serveur VPN d’Electronic qui fournit les connexions VPN d’accès distant.
Figure 2 Le serveur VPN d’Electronic fournissant des connexions VPN d’accès distant Configuration du domainePour chaque employé qui a accès au réseau VPN :
Configuration de la stratégie d’accès distantPour définir les paramètres d’authentification et de cryptage destinés aux clients VPN d’accès distant, la stratégie d’accès distant suivante est créée :
Remarque La condition Called-Station-ID est définie sur l’adresse IP de l’interface Internet pour le serveur VPN. Seuls les tunnels lancés à partir d’Internet sont autorisés. Les tunnels lancés à partir de l’intranet d’Electronic ne sont pas autorisés. Les utilisateurs d’Electronic nécessitant l’accès à Internet à partir de l’intranet d’Electronic doivent passer par le serveur proxy d’Electronic (non illustré), où l’accès à Internet est contrôlé et surveillé. Configuration des clients d’accès distant basée sur le protocole PPTPL’Assistant Création d'une nouvelle connexion est utilisé sur les ordinateurs client en vue de créer une connexion VPN avec le paramètre suivant :
Les paramètres de connexion VPN sont modifiés comme suit :
Configuration des clients d’accès distant basée sur le protocole L2TPL’ordinateur d’accès distant se connecte au domaine d’Electronic au moyen d’une connexion réseau local (LAN) à l’intranet d’Electronic et reçoit un certificat par le biais de l’enregistrement automatique. Ensuite, l’Assistant Création d'une nouvelle connexion permet de créer une connexion VPN avec le paramètre suivant :
Les paramètres de connexion VPN sont modifiés comme suit :
Succursale à la demandeLes succursales de Portland et de Dallas de la société Electronic sont connectées au siège social au moyen de connexions VPN de routeur à routeur à la demande. Les bureaux de Portland et de Dallas ont peu d’employés, et ceux-ci ont des besoins d’accès ponctuels au siège social. Les routeurs Windows 2000 des bureaux de Portland et de Dallas sont équipés d’une carte RNIS qui appelle un fournisseur de services Internet local pour accéder à Internet, puis une connexion VPN de routeur à routeur s’établit sur Internet. Si la connexion VPN est inactive cinq minutes durant, les routeurs des succursales mettent fin à la connexion VPN. Le siège social de Dallas utilise l’ID de réseau IP 192.168.28.0 avec le masque de sous-réseau 255.255.255.0. La succursale de Portland utilise l’ID de réseau IP 192.168.4.0 avec le masque de sous-réseau 255.255.255.0. Pour simplifier la configuration, la connexion VPN est une connexion unilatérale qui est toujours à l’initiative du routeur de la succursale. Pour plus d’informations, reportez-vous à la rubrique intitulée "Connexions à la demande en sens unique” dans l'Aide de Windows 2000 Server. La figure 3 présente le serveur VPN d’Electronic qui fournit les connexions de succursale à la demande.
Figure 3 Le serveur VPN d’Electronic qui fournit des connexions de succursales à la demande Pour déployer des connexions VPN de routeur à routeur à la demande en vue de connecter les succursales de Portland et de Dallas au siège social, en fonction des paramètres configurés dans la section intitulée "Configuration commune pour le serveur de réseau privé virtuel (VPN)" de ce livre blanc, les paramètres supplémentaires suivants sont configurés. Configuration des domainesPour la connexion VPN au bureau de Dallas, le compte d’utilisateur VPN_Dallas est créé avec les paramètres suivants :
Pour la connexion VPN au bureau de Portland, le compte d’utilisateur VPN_Portland est créé avec les paramètres suivants :
Configuration de stratégie d’accès distantPour définir les paramètres d’authentification et de cryptage des routeurs VPN, la stratégie d’accès distant suivante est créée :
Remarque L’option Called-Station-ID est définie sur l’adresse IP de l’interface Internet pour le serveur VPN. Seuls les tunnels lancés à partir d’Internet sont autorisés. Les tunnels lancés à partir de l’intranet d’Electronic ne sont pas autorisés. Les utilisateurs d’Electronic nécessitant l’accès à Internet à partir de l’intranet d’Electronic doivent passer par le serveur proxy d’Electronic (non illustré), où l’accès à Internet est contrôlé et surveillé. Les sections suivantes décrivent une connexion de succursale à la demande basée sur le protocole PPTP pour le bureau de Dallas, et une connexion de succursale à la demande basée sur le protocole L2TP pour le bureau de Portland. Succursale à la demande basée sur le protocole PPTPLa succursale de Dallas est une succursale basée sur le protocole PPTP qui utilise un routeur Windows 2000 pour créer une connexion VPN de routeur à routeur, à la demande, avec le serveur VPN de New-York, si nécessaire. Si la connexion est établie et qu’elle reste inactive pendant cinq minutes, elle sera interrompue. Pour déployer une connexion VPN vers le siège social, de routeur à routeur, à la demande et unilatérale, en fonction des paramètres configurés dans les sections intitulées "Configuration commune pour le serveur de réseau privé virtuel (VPN)" et "Succursale à la demande" de ce livre blanc, les paramètres suivants sont configurés sur le routeur de Dallas. Interface de connexion à la demande pour connexion au fournisseur de services Internet (ISP)Pour connecter le routeur du bureau de Dallas à Internet au moyen d’un fournisseur de services Internet local (ISP), une interface de connexion à la demande est créée par le biais de l’Assistant Interface de numérotation à la demande avec les paramètres suivants :
Pour exécuter l’Assistant Interface numérotation à la demande, cliquez avec le bouton droit sur Interfaces de routage, puis sur Nouvelle interface de numérotation à la demande. Pour connecter le routeur du bureau de Dallas au serveur VPN au moyen d’une connexion VPN de routeur à routeur sur Internet, une interface de connexion à la demande est créée par le biais de l’Assistant Interface de numérotation à la demande avec les paramètres suivants :
Itinéraire statique pour le siège social et les succursalesPour que tous les emplacements de l’intranet d’entreprise soient accessibles, l’itinéraire statique suivant est configuré :
Pour que toutes les succursales d’Electronic soient accessibles, l’itinéraire statique suivant est configuré :
Itinéraire statique pour le serveur VPN d’ElectronicPour créer la connexion au fournisseur de services Internet de Dallas quand la connexion VPN de routeur à routeur doit être établie, l’itinéraire statique suivant est configuré :
Filtres de paquets PPTP sur l’interface de connexion à la demande au fournisseur de services InternetAfin que seul le trafic PPTP soit autorisé sur la connexion à Internet, les filtres de paquets PPTP sont configurés sur l’interface de connexion à la demande au fournisseur de services Internet. Pour plus d’informations, reportez-vous à la procédure de l’annexe A, "Ajouter des filtres de paquets PPTP". Succursale à la demande basée sur le protocole L2TPLa succursale de Portland est basée sur le protocole L2TP qui utilise un routeur Windows 2000 en vue de créer une connexion VPN de routeur à routeur à la demande avec le serveur VPN de New-york, si nécessaire. Si la connexion est établie et qu’elle reste inactive cinq minutes durant, elle sera interrompue. Pour déployer une connexion L2TP vers le siège social, unilatérale, à la demande et de routeur à routeur, en fonction des paramètres configurés dans les sections "Configuration commune pour le serveur de réseau privé virtuel (VPN)" et "Succursale à la demande" de ce livre blanc, les paramètres suivants sont configurés sur le routeur de Portland : Configuration des certificatsLe routeur de Portland a été configuré par l’administrateur réseau d’Electronic alors qu’il était matériellement connecté à l’intranet d’Electronic, puis envoyé au site de Portland. Alors que le routeur de Portland était connecté à l’intranet d’Electronic, un certificat d’ordinateur fut installé à l’aide de l’enregistrement automatique. Interface de connexion à la demande au fournisseur de services Internet (ISP)Pour connecter le routeur du bureau de Portland à Internet au moyen d’un fournisseur de services Internet local, une interface de connexion à la demande est créée par le biais de l’Assistant Interface numérotation à la demande avec les paramètres suivants :
Pour connecter le routeur du bureau de Portland au serveur VPN au moyen d’une connexion VPN de routeur à routeur sur Internet, une interface de connexion à la demande est créée par le biais de l’Assistant Interface numérotation à la demande avec les paramètres suivants :
Itinéraire statique pour le siège social et les succursalesPour que tous les emplacements de l’intranet d’entreprise soient accessibles, l’itinéraire statique suivant est configuré :
Pour que tous les emplacements des succursales d’Electronic soient accessibles, l’itinéraire statique suivant est configuré :
Itinéraire statique pour le serveur VPN d’ElectronicPour créer la connexion au fournisseur de services Internet (ISP) quand la connexion VPN de routeur à routeur doit être établie, l’itinéraire statique suivant est configuré :
Filtres de paquets L2TP sur IPSec sur l’interface de connexion à la demande au fournisseur de services Internet (ISP)Afin que seul le trafic L2TP sur IPSec soit autorisé sur la connexion à Internet, les filtres de paquets L2TP sur IPSec sont configurés sur l’interface de connexion à la demande au fournisseur de services Internet (ISP). Pour plus d’informations, reportez-vous à la procédure de |
||||
 |
Updated 24 septembre, 2003 Hervé Chaudret | |||
,
ainsi qu'à l'Aide de Windows 2000 Server. 
