VPN d'entreprise : relier deux sites en sécurité

Un VPN (Virtual Private Network) crée un tunnel chiffré et authentifié à travers Internet. Si votre entreprise a deux sites, un VPN site à site les relie : les postes de chaque site accèdent aux serveurs et aux imprimantes de l'autre comme s'ils étaient sur le même réseau, sans que le trafic soit lisible sur Internet. Pour des collaborateurs en télétravail, on parle de VPN d'accès distant. Ce guide traite surtout du site à site et signale les différences pour l'accès distant.

Comment fonctionne un VPN d'entreprise ?

Principe de base

Prenez deux sites :

• Site A : réseau 10.10.1.0/24, routeur ou pare-feu en 10.10.1.1.
• Site B : réseau 10.10.2.0/24, routeur ou pare-feu en 10.10.2.1.

Chaque site accède à Internet par son opérateur, avec sa propre adresse IP publique. Sans VPN, partager un serveur entre A et B oblige à l'exposer sur Internet. Avec un VPN, le pare-feu A chiffre les paquets destinés à 10.10.2.0/24 et les envoie au pare-feu B, qui les déchiffre et les remet à l'appareil visé. Pour les ordinateurs, c'est transparent : ils atteignent une adresse de l'autre site, par exemple 10.10.2.20, comme une adresse locale.

Deux conditions. D'abord, les deux réseaux doivent utiliser des plages d'adresses différentes. Ensuite, chaque pare-feu doit connaître la route vers l'autre réseau (en IPsec, ce sont les sélecteurs de trafic ; en WireGuard, les « AllowedIPs ») et des règles doivent autoriser les flux voulus.

Authentification et chiffrement

Avant tout échange, chaque extrémité doit prouver son identité, sinon un faux pare-feu B pourrait se faire passer pour le vrai. Trois méthodes existent :

• Clé pré-partagée (PSK), en IPsec : un secret saisi à l'avance sur les deux pare-feu. Choisissez-le long et aléatoire.
• Certificats, en IPsec et OpenVPN : chaque extrémité présente un certificat signé par une autorité (CA) que l'autre reconnaît.
• Paires de clés, en WireGuard : chaque extrémité a une clé privée et une clé publique ; sur chaque pare-feu, on déclare la clé publique de l'autre. Il n'y a ni certificat ni autorité à gérer.

Les données sont ensuite chiffrées. IPsec négocie ses algorithmes (typiquement AES). WireGuard n'en négocie pas : il utilise une suite fixe, avec ChaCha20 et Poly1305 pour le chiffrement et Curve25519 pour l'échange de clés.

Technologies VPN : IPsec, WireGuard, OpenVPN

Certains constructeurs proposent aussi un « VPN SSL » avec leur propre client. Il est propre à chaque marque : il sert à l'accès distant, pas à relier deux équipements de marques différentes.

IPsec

IPsec est un standard ouvert de l'IETF, apparu dans les années 1990 et présent sur la quasi-totalité des pare-feu d'entreprise. Utilisez IKEv2 (RFC 7296) plutôt que l'ancien IKEv1.

Avantages

• Interopérabilité : un MikroTik, un FortiGate, un Cisco ou un pfSense peuvent monter un tunnel entre eux.
• Maturité : des décennies de déploiement et d'audits.
• Clients IKEv2 intégrés à plusieurs systèmes pour l'accès distant.

Limites

• Beaucoup de paramètres à faire correspondre des deux côtés : version d'IKE, algorithmes, durées de vie, sélecteurs de trafic. Une seule différence empêche le tunnel de monter.
• Le diagnostic demande de lire les journaux des deux extrémités.
• Derrière un NAT, le trafic est encapsulé dans UDP 4500, ce qu'il faut autoriser sur les pare-feu.

WireGuard

WireGuard est plus récent. Il est intégré au noyau Linux depuis la version 5.6 (mars 2020), disponible dans RouterOS 7 de MikroTik et dans OPNsense, et sous forme de module dans pfSense.

Avantages

• Configuration courte : quelques lignes par extrémité.
• Code source réduit, donc plus facile à auditer.
• Les clés de session sont renouvelées automatiquement, environ toutes les deux minutes tant que le tunnel transporte du trafic.

Limites

• Tous les équipements ne le gèrent pas, notamment des pare-feu d'entreprise anciens : vérifiez la fiche avant de choisir.
• Pas de choix d'algorithmes : c'est une qualité de conception, mais cela ne convient pas si une exigence impose d'autres algorithmes.
• Pour l'accès distant, il n'y a pas d'annuaire d'utilisateurs : une paire de clés par appareil, à gérer à la main.
• Moins d'historique de déploiement qu'IPsec dans les grandes organisations.

Mise en place d'un VPN d'entreprise chez AsloTech

AsloTech fournit et installe des pare-feu MikroTik et Fortinet, qui portent le tunnel. La méthode se déroule en quatre temps :

1. Diagnostic : visite des deux sites. Nous relevons le type de connexion Internet (fibre, ADSL, 4G ou 5G), la présence d'une adresse IP publique joignable, le débit montant disponible, les équipements existants et leur plan d'adressage.
2. Choix du protocole : WireGuard si les deux équipements le gèrent ; IPsec avec IKEv2 sinon, ou si les deux marques diffèrent et que l'une ne gère pas WireGuard. Entre un MikroTik et un FortiGate, IPsec avec IKEv2 est le choix courant, puisque les deux le gèrent ; pour WireGuard sur un FortiGate, vérifiez sur la fiche du constructeur que la version de FortiOS le prend en charge.
3. Installation : plan d'adressage sans chevauchement, configuration des deux pare-feu, échange des clés, routes, et règles limitées aux flux nécessaires.
4. Tests : essais de recette et mise en service. Montée du tunnel, ping dans les deux sens, accès aux services réels (partage de fichiers, imprimante, application métier), test de coupure et de redémarrage, sauvegarde des configurations.

Repères de devis. Ordres de grandeur observés sur nos devis confirmés. Chaque montant vient d'un seul devis : ce ne sont pas des moyennes.

• Mise en œuvre d'une solution VPN WireGuard : 65 000 DA HT.
• Configuration d'un utilisateur VPN supplémentaire : 6 000 DA HT.

Exemple de calcul, qui n'est pas un devis : une mise en œuvre WireGuard avec 5 utilisateurs supplémentaires donnerait 65 000 + 5 × 6 000 = 65 000 + 30 000 = 95 000 DA HT, si les utilisateurs sont facturés comme sur ce devis. Le prix réel dépend du nombre de sites, du matériel existant et de la complexité. Le pare-feu lui-même (MikroTik ou Fortinet), ses licences éventuelles et l'installation se chiffrent sur devis.

Cas d'usage et pièges

Cas d'usage classiques

• Deux ou trois bureaux ou magasins reliés en permanence : accès au serveur de fichiers, à l'application de gestion, à l'enregistreur de caméras.
• Télétravail : un VPN d'accès distant évite d'ouvrir le Bureau à distance (RDP, port 3389) sur Internet.
• Caméras à distance : le VPN remplace les redirections de ports (voir accès à distance aux caméras). La réglementation interdit la connexion à internet des systèmes de vidéosurveillance des structures publiques et de celles dont les caméras filment l'espace ouvert au public (décret exécutif n° 09-410 modifié par le décret n° 16-61, art. 20 bis) ; vérifiez votre situation avant d'ouvrir l'accès à distance.
• Sauvegarde hors site : copie des sauvegardes vers l'autre site (voir la règle 3-2-1).
• Téléphonie : un standard IP peut desservir un site distant par le tunnel, si le débit montant et la latence suivent (voir téléphonie IP et continuité de service et standard IP ou analogique).
• Redondance : deux connexions Internet (par exemple fibre et 4G) avec deux tunnels et une bascule automatique.

Si les deux bâtiments sont proches, un lien filaire peut être plus simple et plus stable qu'un VPN : voir fibre optique ou cuivre pour deux bâtiments.

Pièges fréquents

• Chevauchement d'adresses : beaucoup de box utilisent 192.168.1.0/24 ou 192.168.0.0/24 par défaut. Si les deux sites ont la même plage, le VPN ne peut pas les distinguer. Réadressez l'un des deux sites avant de monter le tunnel.
• Adresse publique non joignable : sur une connexion 4G ou 5G, l'opérateur peut partager une même adresse publique entre plusieurs abonnés (CGNAT), et le site n'est alors pas joignable depuis Internet. Le VPN peut fonctionner si l'autre site est joignable : l'extrémité cachée initie la connexion. Si aucun des deux ne l'est, il faut demander une adresse publique à l'opérateur ou passer par un serveur relais. Si l'adresse publique change, utilisez un nom DNS dynamique. Vérifiez ce point avant de promettre un VPN.
• Débit montant : le débit du tunnel est limité par le débit montant du site émetteur, souvent bien inférieur au débit descendant. Mesurez-le.
• MTU : l'encapsulation ajoute des octets à chaque paquet. Symptôme typique : les petits échanges passent, les gros transferts se bloquent. Réglez la MTU du tunnel (1420 par défaut pour WireGuard) ou le MSS clamping.
• Coupures d'électricité : alimentez routeur et modem sur onduleur, et testez que le tunnel remonte seul au retour du courant.
• Règles trop larges : relier deux réseaux ne veut pas dire tout autoriser. Limitez les flux par réseau, par machine et par port, en vous appuyant sur une segmentation en VLAN.

Sécurité du VPN

Un VPN bien configuré protège le trafic entre ses deux extrémités, mais ne protège pas tout :

• Dans le tunnel, le trafic est chiffré. Il est illisible pour quelqu'un qui l'intercepte sur Internet.
• À l'intérieur de chaque réseau local, le VPN ne chiffre rien. Le tunnel s'arrête aux deux pare-feu. Un poste compromis voit le trafic de son réseau, et peut atteindre l'autre site si les règles le permettent.
• Un VPN site à site authentifie deux équipements, pas des personnes. Pour un accès distant, créez un compte par personne, activez l'authentification multi-facteur si l'équipement le permet, et désactivez le compte d'un collaborateur qui part.
• Le service VPN est lui-même exposé sur Internet. Tenez le pare-feu à jour, et n'ouvrez que le port du VPN.

Combinez le VPN avec un pare-feu correctement réglé. Pour choisir l'équipement qui portera le tunnel, voir MikroTik, Fortinet ou Cisco.

Prochaines étapes

Consultez notre page sécurité réseau et pare-feu pour étudier vos besoins, ou notre page réseaux informatiques pour le câblage et les équipements actifs. Lisez aussi comment segmenter votre réseau avec des VLAN pour limiter ce qui circule entre les sites, et pourquoi un pare-feu est indispensable pour protéger le point d'entrée de votre VPN.

Questions fréquentes

À lire aussi