Rubriques Connexes

# Configurer le périphérique XTM pour Mobile VPN with IPSec

Vous pouvez activer Mobile VPN with IPSec pour un groupe d'utilisateurs que vous avez déjà créé ou en créer un nouveau. Les utilisateurs du groupe peuvent s'authentifier sur le périphérique XTM ou sur un serveur d'authentification tiers défini dans la configuration de votre périphérique XTM.

## Configurer un groupe Mobile VPN with IPSec

1. Sélectionnez VPN > Mobile VPN with IPSec.
   La page Mobile VPN with IPSec apparaît.

1. Cliquez sur Ajouter.
   La page Paramètres Mobile User VPN with IPSec apparaît.

1. Saisissez un nom de groupe dans la zone de texte Nom de groupe .
   Vous pouvez saisir le nom d'un groupe existant ou celui d'un nouveau groupe Mobile VPN. Vérifiez que le nom est unique et qu'il n'a pas été attribué à des noms de groupes VPN, d'interface ou de tunnel VPN.
2. Configurez ces paramètres pour modifier le profil de groupe :

Serveur d'authentification

Sélectionnez le serveur d'authentification à utiliser pour ce groupe Mobile VPN. Vous pouvez authentifier les utilisateurs avec la base de données interne (Firebox-DB) du périphérique XTM, ou encore avec un serveur RADIUS, VASCO, SecurID, LDAP ou Active Directory. Vérifiez que la méthode d'authentification que vous choisissez est activée.

Mot de passe

Entrez un mot de passe pour chiffrer le profil Mobile VPN (fichier .wgx) que vous distribuez aux utilisateurs de ce groupe. La clé partagée peut uniquement contenir des caractères ASCII standard. Si vous utilisez un certificat pour l'authentification, il s'agit du code PIN du certificat.

Confirmer

Entrez de nouveau le mot de passe.

Principale

Saisissez l'adresse IP externe principale à laquelle les utilisateurs Mobile VPN de ce groupe peuvent se connecter. Il peut s'agir d'une adresse IP externe, d'une adresse IP externe secondaire, ou d'un réseau local virtuel (VLAN) externe. Pour un périphérique en mode d'insertion, utilisez l'adresse IP attribuée à toutes les interfaces.

Sauvegarder

Saisissez l'adresse IP externe de sauvegarde à laquelle les utilisateurs Mobile VPN de ce groupe peuvent se connecter. L'adresse IP de sauvegarde est facultative. Si vous ajoutez une adresse IP de sauvegarde, assurez-vous qu'il s'agit d'une adresse IP attribuée à une interface externe de périphérique XTM ou un réseau local virtuel (VLAN).

Délai d'expiration de la session

Sélectionnez la durée d'activité maximale (en minutes) d'une session Mobile VPN.

Délai d'inactivité

Sélectionnez la durée d'inactivité maximale (en minutes) d'une session Mobile VPN. Passé ce délai, le périphérique XTM ferme la session. Les valeurs de délai d'expiration et d'inactivité de la session sont les valeurs de délai par défaut si le serveur d'authentification n'a pas ses propres valeurs de délai. Si vous utilisez le périphérique XTM en tant que serveur d'authentification, les délais du groupe Mobile VPN sont toujours ignorés car vous définissez des délais pour chaque compte d'utilisateur du périphérique XTM.

Les délais de session et d'inactivités ne peuvent pas être plus longs que la valeur du champ SA Life.
Pour définir cette valeur, dans la boîte de dialogue Paramètres Mobile VPN with IPSec, cliquez sur l'onglet Tunnel IPSec, puis sur Avancé pour les Paramètres de phase 1. La valeur par défaut est de 8 heures.

1. Sélectionnez l'onglet Tunnel IPSec.
   La page Tunnel IPSec s'ouvre.

1. Configurez ces paramètres :

Utilisez le mot de passe du profil d'utilisateur final comme clé pré-partagée

Sélectionnez cette option pour utiliser le mot de passe du profil de l'utilisateur final comme clé pré-partagée et permettre une authentification d'accès au tunnel. Vous devez utiliser la même clé partagée sur le périphérique distant. Cette clé partagée peut uniquement contenir des caractères ASCII standard.

Utiliser un certificat

Sélectionnez cette option pour utiliser un certificat dans le cadre d'une authentification d'accès au tunnel.
Pour plus d'informations, voir Certificats pour l'authentification des tunnels mobile VPN with IPSec.

Adresse IP de l'autorité de certification

Si vous utilisez un certificat, saisissez l'adresse IP du serveur Management Server qui a été configuré en tant qu'autorité de certification.

Délai

Si vous utilisez un certificat, saisissez la durée en secondes avant que le client Mobile VPN with IPSec arrête de se connecter si l'autorité de certification ne répond pas. Il est conseillé de conserver la valeur par défaut.

Paramètres de phase 1

Sélectionnez les méthodes d'authentification et de chiffrement relatives au tunnel VPN. Ces paramètres doivent être identiques aux deux points de terminaison du VPN. Pour configurer des paramètres avancés, par exemple le Parcours NAT ou le Groupe de clés, cliquez sur Avancé et consultez Définir des paramètres de phase 1 avancés.

Les options de chiffrement sont répertoriées de la moins complexe et sécurisée à la plus complexe et sécurisée.

DES

3DES

AES (128 bits)

AES (192 bits)

AES (256 bits)

Paramètres de phase 2

Sélectionnez PFS (Perfect Forward Secrecy) pour activer PFS et définir le Groupe Diffie-Hellman.

Pour modifier d'autres paramètres de proposition, cliquez sur Avancé et consultez Définir des paramètres de phase 2 avancés.

1. Sélectionnez l'onglet Ressources.
   La page Ressources apparaît.

1. Configurez ces paramètres :

Autoriser tout le trafic à passer par le tunnel

Pour faire passer tout le trafic Internet des utilisateurs de Mobile VPN par le tunnel VPN, cochez cette case.
Si vous cochez cette case, le trafic Internet des utilisateurs Mobile VPN passe par le tunnel VPN. Ce système est plus sûr, mais les performances du réseau sont réduites.
If vous ne cochez pas cette case, le trafic Internet des utilisateurs Mobile VPN est envoyé directement sur Internet. Ce système est moins sûr, mais la navigation sur Internet est plus rapide.

Liste des ressources autorisées

Cette liste répertorie les ressources auxquelles les utilisateurs du groupe d'authentification Mobile VPN peuvent accéder sur le réseau.

Pour ajouter une adresse IP ou une adresse IP de réseau à la liste des ressources réseau, sélectionnez IP de l'hôte ou IP du réseau, saisissez l'adresse et cliquez sur Ajouter.

Pour supprimer l'adresse IP ou l'adresse IP réseau sélectionnée de la liste des ressources, sélectionnez une ressource et cliquez sur Supprimer.

Pool d'adresses IP virtuelles

Cette liste répertorie les adresses IP internes utilisées par les utilisateurs de Mobile VPN sur le tunnel.

Pour ajouter une adresse IP ou une adresse IP de réseau au pool d'adresses IP virtuelles, sélectionnez IP de l'hôte ou IP du réseau, saisissez l'adresse et cliquez sur Ajouter.

Pour la supprimer du pool d'adresses IP virtuelles, sélectionnez un hôte ou une adresse IP de réseau et cliquez sur Supprimer.

Vous devez utiliser les adresses IP du pool d'adresses IP virtuelles à cette fin uniquement sur votre réseau.

Pour plus d'informations sur les adresses IP virtuelles, voir Adresses IP Virtuelles et Mobile VPN.

1. Sélectionnez l'onglet Avancé.
   La page Avancé apparaît.

1. Configurez les paramètres Gestion de ligne :

Mode de connexion

Manuelle — Dans ce mode, le client n'essaie pas de redémarrer le tunnel VPN automatiquement si le tunnel VPN n'est pas actif. C'est le paramètre par défaut.

Pour redémarrer le tunnel VPN, vous devez cliquer sur le bouton Connecter dans Connection Monitor, ou faire un clic droit sur l'icône Mobile VPN sur votre barre d'outils du bureau Windows et cliquer sur Connecter.

Automatique — Dans ce mode, le client essaie de démarrer la connexion lorsque votre ordinateur envoie des données à une destination accessible par le réseau VPN. Le client essaie également de redémarrer le tunnel VPN automatiquement si le tunnel VPN devient indisponible.

Variable — Dans ce mode, le client essaie de redémarrer le tunnel VPN automatiquement jusqu'à ce que vous cliquiez sur Déconnecter. Après la déconnexion, le client n'essaie pas de redémarrer le tunnel VPN tant que vous ne cliquez pas sur Connecter.

Délai d'inactivité

Si le mode de connexion est défini sur Automatique ou Variable, le logiciel client Mobile VPN with IPSec n'essaie pas de renégocier la connexion au réseau privé VPN (Virtual Private Network) tant qu'aucun trafic provenant des ressources réseau disponibles ne passe par l'intermédiaire du tunnel pendant la durée que vous avez indiqué pour le délai d'inactivité.

Les paramètres par défaut de gestion de ligne sont Manuelle et 0 seconde. Si vous modifiez l'un de ces paramètres, vous devez utiliser le fichier .ini pour configurer le logiciel client.

1. Cliquez sur Enregistrer.
   La page Mobile VPN with IPSec s'ouvre et le nouveau groupe IPSec apparaît dans la liste des groupes.
2. Cliquez sur Enregistrer.

Les utilisateurs membres du groupe que vous créez ne peuvent pas se connecter tant qu'ils n'importent pas le fichier de configuration correct dans leur logiciel client Mobile VPN with IPSec. Vous devez générer le fichier de configuration et le mettre à la disposition des utilisateurs finaux.

Pour générer les profils d'utilisateur final du groupe que vous avez modifié :

1. Sélectionnez VPN > Mobile VPN with IPSec.
   La page Mobile VPN with IPSec apparaît.
2. Dans la liste déroulante Client, sélectionnez le client VPN.
3. Cliquez sur Générer.

Fireware XTM Web UI peut seulement générer les fichiers de configuration .ini et .vpn des utilisateurs mobiles. Si vous souhaitez générer le fichier .wgx, vous devez utiliser Policy Manager.

#### Voir également

Générer les fichiers de configuration Mobile VPN with IPSec

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique