VPN

ccnet

Ce site le fera très bien : http://christian.caleca.free.fr/vpn.html
Vous y trouverez aussi d'autres chapitres fort utiles pour compléter vos connaissances.

MathieuIRIS

Merci pour le site ! ;D

MathieuIRIS

Si je comprends bien les VPN permettent de creer un "tunnel" et de se connecter a un pc a distance ?
Est ce qu'on peut passer a travers un proxy ?
Merci

MathieuIRIS

Autre question : Je viens de voir que ce n'etais pas securiser mais qu'il existais bien d'autre solutions pour arriver au meme resultat.
Connaissez vous un moyen de faire un "tunnel securiser" ?
Merci

ccnet

@MathieuIRIS:

Si je comprends bien les VPN permettent de creer un "tunnel" et de se connecter a un pc a distance ?
Est ce qu'on peut passer a travers un proxy ?
Merci

Oui le vpn permet de créer un tunnel sécurisé puisque le contenu est crypté entre les deux interfaces.
Ce n'est pas le vpn qui permet la connexion à distance. Une connexion à distance peut ne pas utiliser de vpn. Une connexion sur un lan peut utiliser un vpn. Ce sont deux concepts distincts même si dans la pratique ils sont souvent réunis.

Un proxy suppose la lecture des contenus au niveau applicatif pour fonctionner. Si ce contenu est crypté la machine proxy ne peut pas le lire. Maintenant le serveur vpn peut être situé avant le proxy vu de l'extérieur. Le client distant établira un vpn jusqu'au serveur (ou passerelle vpn) puis le trafic sera en clair à l'arrivée sur le proxy qui est alors utilisable.

Autre question : Est ce que c'est sécuriser ?

Aie. Avez vous pris le temps de comprendre le sens de ces trois lettres "VPN" ? Si c'est privé alors ce n'est pas … ? donc ?

MathieuIRIS

Ou lala je vois que je suis en train de melanger plusieurs chose je confonds avec les "tunnels GRE" apparement
C la galere ^^
En fait voila j'ai un PC1 chez moi et un PC2 a l'entreprise proteger par un proxy donc si je creer un VPN sur chaque PC je peux acceder au
PC2 via le PC1 en toute securiter ?

J'ai du mal a comprendre quand vous dites "Maintenant le serveur vpn peut être situé avant le proxy vu de l'extérieur"

Merci de votre aide

ccnet

Franchement le site que je vous ai indiqué ne se lit pas en 5 mn. C'est plusieurs heures de travail étalées sur plusieurs jours et avec des retours nécessaires pendant quelques semaines. Je crains que vos connaissances actuelles ne soient trop juste pour vous attaquer à un tel sujet, du moins en dehors de configurations de tests.

Cela dit le schéma général d'un accès à l'entreprise via vpn est :

Client Nomade avec son vpn (logiciel)–-------> Firewall--->ServeurVpn--->Accès au lan.

Avec quelque remarques :
1. Avec Pfsense Firewall est aussi serveur vpn.
2. L'accès au Lan peut être restreint à certain services ou même à une dmz.

Nul besoin de proxy à ce stade. Si proxy il y a c'est pour sortir du Lan vers internet ET pour les protocoles http et https.
Dans le cas d'un serveur web accessible depuis internet et situé en dmz, on est parfois conduit à utiliser un reverse proxy, mais c'est encore une autre problématique, un autre besoin.

MathieuIRIS

Je suis en premiere annee bts info donc je m'y interresse la c'est pour mon stage je regarder si je pouvais faire quelque chose d'interressant mais j'avoue c complexe mais bon qui ne tente rien na rien
je vais me plongé dans le site que vous m'avez indiqué car il semble interressant et jereviendrais peu etre un jour reposer des questions ^^
Merci de votre aide et bonne continuation

ccnet

@MathieuIRIS:

.. mais bon qui ne tente rien na rien
…

Vous avez bien raison. En effet depuis une première année de BTS info, il y a du boulot. Je ne connais pas les programmes ni leur déroulement, mais il vous faut impérativement bien maitriser les 4 premières couches du "modèle OSI" et impérativement tcp/ip à fond.
Un livre remarquable : http://www.silicon.fr/fr/silicon/special-report/2004/10/13/livres-itcpip-illustrei

MageMinds

Bonjour MathieuIRIS,

Voici une vulgarisation du VPN… Il faut voir l'Internet comme étant un bocal rempli d'eau, chaque molécule d'eau est une adresse IP sur le réseau publique. Donc quand un molécule parle à une autre tout le monde l'entends... Le VPN c'est comme mettre une paille entre deux molécules, dès lors les molécules peuvent se parler sans que les autres voient ce qu'elle se disent.

Le VPN c'est un tunnel (paille) virtuel crypté entre deux points sur l'Internet. À partir du moment où le tunnel est monté et actif, les communications entre les deux points sont crypté et sécurisé. Avec un VPN vous pouvez relier un ordinateur à un réseau privé d'entreprise, vous pouvez relier deux réseau privé d'entreprise à condition qu'ils ne possèdent pas les mêmes adresses et masques de réseau et finalement vous pouvez relier deux ordinateur entre eux. Il existe différent méthode de création de VPN, les deux plus commune sont IPSec et PPTP (GRE). pfSense supporte IPSec, PPTP, OpenVPN, ce dernier je ne le connais pas beaucoup.

Malgré le fait qu'il soit moins sécuritaire que l'IPSec, le PPTP est bien pratique, car toutes les machines Windows XP possèdent le client pour créer la connexion de façon native, donc l'installation d'un client tier n'est pas nécessaire comme pour l'IPSec.

Pour faire du contrôle à distance, il n'est pas absolument nécessaire de crypter les données, ça pose un certain risque, mais le risque est quand même juste limité au man-in-the-middle, chez moi, mon port RDP fait face à l'Internet et je n'ai jamais eu de problèmes, un bon mot de passe bien sécuritaire, une règle firewall qui préviens le Brute-Force du mot de passe et le tour est joué. Le mot de passe n'est pas envoyé en texte clair comme pour le courriel, mais il n'est pas crypté.

Voici un tunnel VPN IPSec entre deux réseau privé.


192.168.100.1/24 <-pfSense-> 1.2.3.4/32 <-Internet-> 5.6.7.8/32 <-pfSense-> 192.168.200.1/24
                     |_____________________VPN______________________|

Dans le schéma on voit que le VPN relie deux pfSense ensemble, donc les clients du réseau de gauche peuvent communiquer avec les clients du réseau de droite, ils peuvent exécuter la commande "ping 192.168.200.25" les paquets ICMP echo-request passerons à travers le VPN comme si rien n'était, pour les deux coté le VPN est complètement transparent.

Je ne crois pas qu'il soit possible de fabriquer un tunel PPTP entre deux réseau, si c'est faisable ce n'est pas une pratique courante.