Différences

Ci-dessous, les différences entre deux révisions de la page.

--- activiteipsec [2021/12/05 22:23] – [Profils de chiffrement] techer.charles_educ-valadon-limoges.fr
+++ activiteipsec [2021/12/05 23:26] (Version actuelle) – techer.charles_educ-valadon-limoges.fr
@@ Ligne 17: / Ligne 17: @@
   * l’extrémité de tunnel distante (le correspondant).
 {{ :vpn_02.png |}}
-Si le correspondant n’existe pas, il faut le créer en cliquant sur le lien **Créer un correpondant IKEv2**  qui sera utilisé pour la négociation du tunnel.
+Si le correspondant n’existe pas, il faut le créer en cliquant sur le lien **Créer un correspondant IKEv2**  qui sera utilisé pour la négociation du tunnel.
 {{ :vpn_03.png |}}
   * L'assistant de création du correspondant permet de renseigner les paramètres du correspondant :
@@ Ligne 33: / Ligne 33: @@
 Un résumé détaillé des paramètres de configuration peut être affiché en cliquant sur le pictogramme représentant un oeil.
 {{ :vpn_07.png |}}
+  * Cliquez sur **Enregistrer** pour créer le tunnel VPN et activer la politique.
 ===== Profils de chiffrement =====
   * Le profil de chiffrement phase 1 appelé également profil IKE est configuré au niveau du correspondant.
@@ Ligne 49: / Ligne 51: @@
 <WRAP center round todo>
 **A faire :**
+Configurez le tunnel VPN IPsec avec ces profils de chiffrement par défaut en configurant le SNS de l'autre extrémité du tunnel
 </WRAP>
+===== Fonction Keepalive =====
+La fonction Keepalive permet de maintenir le tunnel disponible en envoyant un paquet UDP à destination du réseau distant sur le port numéro 9, avec une certaine fréquence.
+Cela provoque la négociation initiale du tunnel, puis ses renégociations périodiques.
+Elle permet de configurer la fréquence en secondes avec laquelle les paquets UDP sont envoyés.
+===== Règles du pare-feu implicites=====
+Lors de la création du tunnel VPN IPsec site-à-site, des règles implicites sont ajoutées automatiquement pour autoriser la réception du trafic constituant un tunnel VPN IPSec : les ports UDP/500, UDP/4500 et le protocole ESP.
+Ces règles ne concernent que les flux entrants car les flux sortants sont déjà couverts par les règles flux implicites du firewall.
+{{ :vpn_10.png |}}
+===== Règles du pare-feu explicites=====
+Le trafic autorisé entre les usagers du tunnel doit être explicitement défini par des règles de filtrage :
+  * La première règle permet l’initiation de connexions à partir du réseau local Network_in et à destination du réseau distant LAN_IN_B.
+  * La deuxième règle permet, quant à elle, l’initiation de connexions à partir du réseau distant LAN_IN_B à destination du réseau local Network_in. La directive via Tunnel VPN IPSec a été ajoutée à la source de cette règle pour s’assurer que le trafic du réseau distant provient bien du tunnel VPN IPSec.
+<WRAP center round info>
+**NOTE :** ces règles sont très permissives puisqu’elles ne spécifient pas de flux particuliers. En situation réelle, il convient de définir une politique de filtrage qui décrit strictement les flux à autoriser afin de couvrir rigoureusement les communications nécessaires entre les différentes machines des deux sites.
+</WRAP>
+{{ :vpn_11.png |}}
+===== Les logs de la négociation IKE =====
+Le menu LOGS ⇒ VPN affiche les évènements relatifs au déroulement de la négociation IKE.
+Les extrémités de trafic qui ont provoqué les négociations et pour lesquelles le tunnel est disponible apparaissent explicitement sur la ligne de log concernant la négociation de phase 2.
+Dans le cadre d’un diagnostic, en particulier en cas de message d’erreur ou d’avertissement, il est essentiel de relever la phase de négociation pour laquelle les messages sont rapportés.
+Davantage d’informations, plus techniques, peuvent être affichées en cliquant sur la flèche qui se trouve dans l’en-tête de colonnes, puis sélectionnant les colonnes supplémentaires souhaitées.
+{{ :vpn_12.png |}}
+===== Supervision des tunnels VPN IPsec =====
+Le menu **Supervision ⇒ Tunnels VPN IPSec** permet de visualiser la politique VPN IPSec active sur le firewall.
+Lorsque l’option **Masquer les tunnels établis pour afficher uniquement les politiques présentant des problèmes** est cochée, seules les politiques qui n'ont pas de tunnels négociés s’affichent.
+{{ :vpn_13.png |}}
+En dessous, la section **Tunnels** permet, de superviser les tunnels disponibles.
+L’âge actuel des SA et les algorithmes retenus lors des négociations apparaissent.
+La colonne État peut afficher trois valeurs :
+  * **Larval* : le tunnel est en cours de négociation,
+  * **Mature** : la négociation des SA de phase 2 a abouti et le tunnel est opérationnel,
+  * **Dying** : les SA de phase 2 ont atteint 80 % de leurs durées de vie.
+{{ :vpn_14.png |}}
+====== Activité complémentaire 1 ======
+Créez les profils de chiffrement suivants :
+  * IKE Phase 1 : Diffie-Hellman (DH15 MODP), Durée de vie maximum (21600s), algorithme d’authentification (sha2_512) et algorithme de chiffrement (AES 256bits).
+  * IPSEC Phase 2 : PFS (DH15 MODP), durée de vie (3600s), algorithme d’authemtificatiom (hmac_sha512) et algorithme de chiffrement (AES 256bits).
+Appliquez vos nouveaux profils de chiffrement sur votre VPN. Puis vérifiez que tout fonctionne correctement.
+====== Activité complémentaire 2 ======
+Configure un tunnel VPN IPsec avec des certificats de votre autorité de certification.
+====== Activité complémentaire 3 ======
+Créez les profils de chiffrement suivants :
+Réalisez l’interconnexion de ces mêmes réseaux, mais en configurant des tunnels basés sur des VTI avec au choix du routage statique ou par politique (PBR).
+Documentation Stormshield sur les {{ :stormshield_vpn_ipsec_vti.pdf |tunnels VPN IPsec par VTI}}. :