[Stormshield] : Configurer un VPN IPSec site-à-site

Dans cet article, je vous propose une méthode d’interconnexion de sites distants à travers Internet grâce au protocole IPSec sur les UTM Stormshield. Pour les besoins du lab, l’infrastructure réseau a été virtualisée, l’UTM Stormshield est une version « virtual appliance ».

Schéma d’infrastructure

Dans ce lab, nous avons un site principal appelé « Headquarter » et un site distant appelé « Remote Office ». Les deux sites possèdent un accès à Internet. L’objectif est d’interconnecter ces deux sites géographiquement distants. Pour ce faire, nous utiliserons le protocole IPSec pour connecter ces deux sites à travers Internet. Les UTM stormshield, situés en tête de pont des réseaux, seront utilisés pour réaliser cette connexion et gérer le routage entre les différents réseaux.

Plan d’adressage

Ci-dessous vous retrouverez le plan d’adressage choisi pour les besoins du lab :

Menu de configuration

– Accédez au menu de configuration du VPN, Configuration > VPN > VPN IPSec :

Correspondant

– Créez un nouveau site distant IKEv2, VPN IPSec > Correspondants > Ajouter > Nouveau site distant IKEv2 :

– Créez un nouveau correspondant (ici il va falloir créer un nouvel objet machine qui correspond au pare-feu du Remote Office), cliquez sur l’icône pour créer la passerelle distante :

Passerelle distante => pare-feu distant (SG-Remote-office => 172.19.136.33)

– Sélectionnez l’identification par clé pré-partagée, il est conseillé d’utiliser une clé assez longue et complexe :

Cette clé sera utilisée par les deux passerelles de sécurité (pare-feux) pour s’identifier mutuellement, par conséquent elle doit identique sur chacune et unique pour chaque connexion.

– Reproduisez les mêmes manipulations sur le Remote-Office, en adaptant les informations.

Chiffrement

– Accédez aux paramètres de Profil de chiffrement, laisser les paramètres des sécurité par défaut, ces paramètres sont recommandés par l’ANSSI (soit StrongEncryption) :

Les paramètres de sécurité (algorithme d’authentification, de chiffrement, le D-H et le lifetime= doivent être strictement identiques pour les deux phases sur les deux pare-feux lorsque le protocole IKEv2 est utilisé.

Tunnel site-à-site

– Ajoutez un tunnel site à site :

– Sur chaque passerelle, créez pour un nouvel objet « Réseau » pour chaque réseau distant :

– Reproduisez les manipulations précédentes sur le Headquarter, en adaptant les informations.

Lorsque vous voulez connecter plusieurs réseaux locaux à plusieurs réseaux distants, voici ce qu’il se passe

• • • une seule phase 1 est montée ;
    • autant de phases 2 sont montées, qu’il y a de réseaux à connecter
      

Règles de filtrage

– Créez de nouvelles règles de filtrage autorisant les flux depuis le réseau local vers le réseau distant et inversement :

– Vérifiez si les tunnels sont montés, Supervision > Supervision des tunnels VPN IPSec :

Pour que les tunnels soient montés, il faut que des flux transitent, lancer un ping du réseau local vers le réseau distant pour initier le tunnel.

N.B : L’état des tunnels sont également disponibles sur Real Time Monitor > Tunnel VPN.