Sécuriser l’accès aux réseaux : VPN
VPN : Virtual Private Network;
Un réseau privé virtuel est une connexion chiffrée (Confidentialité)
via Internet liant un appareil ou un réseau à un autre réseau;
La connexion chiffrée permet de transmettre les données sensibles
en toute sécurité (Tunnel);
Les protocoles de Tunneling : IPsec (Internet Protocol Security), SSL
(Secure Sockets Layer), GRE, etc;
La technologie VPN est très utilisée dans les environnements
professionnels.
29/11/2023 Mohammed AFTATAH 1
VPN : Types (1)
Les tunnels VPN sont acheminés via Internet à partir d’un réseau
privé vers un site distant ou vers une hôte d‘un employé;
Deux implémentations de VPN :
• VPN site à site : Configuration VPN sur les routeurs. Les
clients ne savent pas que leurs données sont cryptées;
• VPN accès à distance : L'utilisateur initie une connexion
d'accès à distance.
29/11/2023 Mohammed AFTATAH 2
VPN : Types (2)
29/11/2023 Mohammed AFTATAH 3
VPN : Avantages
Réductions des coûts : Utilisation d’un réseau existant (Internet);
Sécurité : Chiffrement et l’authentification protègent les données
contre les accès non autorisé;
Extensibilité : Facilité d’ajout de nouveaux extensions (Utilisateurs
ou réseau) sans investir dans l'infrastructure;
Compatibilité : Avec une grande variété d'options de liaison WAN
(haut débit).
29/11/2023 Mohammed AFTATAH 4
VPN : Inconvénients
Moins performant : Les opérations de chiffrement/déchiffrement
prennent beaucoup de temps et occupent une partie des ressources
des équipements;
Une connexion internet plus lente : Trafic redirigé et chiffré via le
serveur VPN;
VPN n’est pas légal dans tous les pays
29/11/2023 Mohammed AFTATAH 5
VPN : Protocole GRE
GRE : Generic Routing Encapsulation;
GRE (Encapsulation générique de routage) est un protocole d'encapsulation de
paquets de données (Envelopper un paquet de données à l'intérieur d'un autre
paquet de données);
Le protocole GRE est utilisé pour la création d'un tunnel VPN entre deux sites.
29/11/2023 Mohammed AFTATAH 6
Protocole GRE : Configuration (1)
L’implémentation d’un tunnel GRE par l'administrateur réseau s'effectue
en cinq étapes :
Étape 1 : Créez une interface de tunnel à l'aide de la
commande interface tunnel ‘number’;
Étape 2 : Spécifiez l'adresse IP source du tunnel;
Étape 3 : Spécifiez l'adresse IP de destination du tunnel;
Étape 4 : Configurez une adresse IP pour l'interface du tunnel;
Étape 5 (Facultatif) : Spécifiez le mode de tunnel GRE en tant que
mode d'interface de tunnel. Le mode de tunnel GRE est le mode
d'interface de tunnel par défaut du logiciel Cisco IOS.
29/11/2023 Mohammed AFTATAH 7
Protocole GRE : Configuration (2)
29/11/2023 Mohammed AFTATAH 8
Protocole GRE : Configuration (3)
29/11/2023 Mohammed AFTATAH 9
VPN : IPsec (1)
IPsec : Internet Protocol Security;
IPSec est compatible aux protocoles IPv4 et IPv6;
IPSec (Couche 3) est défini par l'IETF comme un cadre de standards ouverts qui
regroupe un ensemble de protocoles : AH, ESP, IKE, ISAKMP;
Dans le but d’assurer des communications privées et protégées sur des réseaux IP
(Internet), par l'utilisation des services de sécurité ;
Deux modes IPsec:
• Mode Transport : Uniquement les données transférées du
paquet IP qui sont chiffrées et/ou authentifiées (Les adresses IP
des extrémités restent inchangées);
• Mode Tunnel : La totalité du paquet IP qui est chiffré et/ou
authentifié (Encapsulé dans un nouveau paquet IP avec un
nouvel en-tête IP).
29/11/2023 Mohammed AFTATAH 10
IPsec : Tunnel vs Transport (1)
29/11/2023 Mohammed AFTATAH 11
IPsec : Tunnel vs Transport (2)
29/11/2023 Mohammed AFTATAH 12
IPsec : Services de sécurité
29/11/2023 Mohammed AFTATAH 13
IPsec : AH, ESP, IKE, ISAKMP & SA (1)
AH : Authentication Header;
Le protocole AH garantit que les paquets de données proviennent d'une source
fiable et que les données n'ont pas été altérées (Authentification et Intégrité et
pas la confidentialité);
ESP : Encapsulating Security Payload;
Le protocole ESP chiffre l'en-tête IP et la charge utile de chaque paquet. Il assure,
en plus des objectifs offerts par AH, la confidentialité des données (Le plus
largement utilisé);
IKE : Internet Key Exchange ;
Le protocole IKE est utilisé pour l'échange des clés utilisées pour l'encryptage
entre deux communicants VPN (deux routeurs).
29/11/2023 Mohammed AFTATAH 14
IPsec : AH, ESP, IKE, ISAKMP & SA (2)
IKE fonctionne en deux phases :
• Phase 1 (mode principal ou Main Mode) : Etablissement d’un canal
sécurisé entre les routeurs VPN (Chiffrement des messages de gestion du
Tunnel). Détermination de la politique ISAKMP : Chiffrement, Hachage,
Authentification, DH groupe et Life time.
• Phase 2 (mode rapide ou Quick Mode) : Accord sur sur un ensemble de
paramètres qui définissent le type de trafic pouvant passer par le VPN et
sur la manière de chiffrer et d'authentifier le trafic (Association de
sécurité) : Type IPsec (ESP), Chiffrement et Hachage.
29/11/2023 Mohammed AFTATAH 15
IPsec : AH, ESP, IKE, ISAKMP & SA (3)
ISAKMP : Internet Security Association and Key Management
Protocol;
Le protocole ISAKMP a pour rôle la négociation, l’établissement, la
modification et la suppression des associations de sécurité et de
leurs attributs (Phase 1 d’IKE).
SA : Security Association;
Une association de sécurité est une structure de données servant à
stocker l'ensemble des paramètres de sécurité associés à une
communication (Phase 2 d’IKE);
29/11/2023 Mohammed AFTATAH 16
IPsec : Configuration (1)
29/11/2023 Mohammed AFTATAH 17
IPsec : Configuration (2)
Phase 1 :
Router(config)#crypto isakmp policy ‘numéro d’une politique’
Router(config-isakmp)#encryption ‘chiffrement symétrique’
Router(config-isakmp)#hash ‘fonction de hachage’
Router(config-isakmp)#authentication pre-share
Router(config-isakmp)#group ‘numéro de groupe’
Router(config-isakmp)#lifetime ‘temps en secondes’
Router(config-isakmp)#exit
Router(config)#crypto isakmp key ‘mot de passe’ address ‘adresse IP
de l’autre bout’
29/11/2023 Mohammed AFTATAH 18
IPsec : Configuration (3)
Phase 2 :
Router(config)#crypto ipsec transform-set ‘nom’ esp-’chiffrement’ esp-
’hachage’
Exemple :
Router(config)#crypto ipsec transform-set VPN-SET esp-aes esp-sha-
hmac
Création d’une ACL étendue:
Router(config)#access-list ‘numéro de la liste d’accès’ permit ip
‘adresse réseau du site 1’ ‘masque générique’ ‘adresse réseau du site
2’ ‘masque générique’
29/11/2023 Mohammed AFTATAH 19
IPsec : Configuration (4)
MAP :
Router(config)#crypto map ‘nom du map’ ‘numéro de séquence’ ipsec-
isakmp
Router(config-crypto-map)# description ‘description’
Router(config-crypto-map)#set peer ‘adresse IP de l’autre bout’
Router(config-crypto-map)#match address ‘numéro de l’ACL en phase
2’
Router(config-crypto-map)#set transform-set ‘nom du transform-set
en phase 2’
Router(config-crypto-map)# exit
Router(config)#interface ‘interface connectée à l’autre bout’
Router(config-if)#crypto map ‘nom du map’
29/11/2023 Mohammed AFTATAH 20
TP 20 : Configuration d’un VPN IPsec
29/11/2023 Mohammed AFTATAH 21
TP 20 : Configuration d’un VPN GRE
29/11/2023 Mohammed AFTATAH 22
