Rubriques Connexes

# Configurer un Réseau Privé VPN d'un Firebox à un Périphérique Cyberoam

Un tunnel de Branch Office Virtual Private Network (BOVPN) est un moyen sécurisé d'échanger des données via Internet entre des réseaux ou entre un hôte et un réseau. Cette rubrique décrit comment définir un tunnel BOVPN manuel entre un Firebox et un Cyberoam Security Appliance (10.04.0 build 433). Avant de créer un tunnel BOVPN, vous devez récupérer les adresses IP de chaque point de terminaison et décider des paramètres de tunnel communs que vous utiliserez.

Cette rubrique ne donne aucune information détaillée sur la signification des différents paramètres BOVPN ni sur l'incidence qu'ils peuvent avoir sur le tunnel. Si vous voulez en savoir plus sur un paramètre précis, servez-vous des ressources suivantes :

- À propos des Tunnels Branch Office VPN Manuels
- Configurer des Passerelles BOVPN Manuelles
- Configurer des Tunnels BOVPN Manuels

WatchGuard fournit des instructions d'interopérabilité pour aider nos clients à configurer les produits WatchGuard afin qu'ils fonctionnent avec des produits créés par d'autres organisations. Si vous avez besoin de plus d'informations ou d'un soutien technique concernant la configuration d'un produit autre que WatchGuard, consultez la documentation et les ressources de support de ce produit.

## Résumé de la configuration VPN

À titre de référence, voici un résumé de la configuration VPN par défaut du Cyberoam Security Appliance. Les paramètres qui ne correspondent pas aux paramètres de configuration VPN par défaut de Fireware v11.12.4 sont mis en avant.

Dans Fireware v12.0 et les versions ultérieures, les paramètres de sécurité BOVPN par défaut sont différents. Pour déterminer si ces paramètres sont compatibles avec votre périphérique Cyberoam , consultez la documentation se rapportant à ce dernier.

Paramètres du réseau privé VPN (Virtual Private Network) | Périphérique WatchGuard par défaut (v11.12.4) | Périphérique Cyberoam par défaut (10.04.0 version 433) | Correspondant ?
--- | --- | --- | ---
Paramètres de Phase 1
Mode d'échange IKE | Principal | Principal | O
Authentification | SHA1 | SHA1 | O
Chiffrement | 3DES | AES (128 bits) | N
Groupe Diffie-Hellman | 2 | 2 | O
Paramètres de Phase 2
Perfect Forward Secrecy (PFS) | Non | Oui | N
Protocole | ESP | ESP | O
Authentification | SHA1 | SHA1 | O
Chiffrement | AES (256 bits) | AES (128 bits) | N

Les périphériques WatchGuard et Cyberoam ont des paramètres par défaut différents pour le chiffrement de Phase 1 et 2. Pour que le tunnel VPN s'établisse correctement, vous devez spécifier les mêmes paramètres de Phase 1 et 2 sur vos périphériques Firebox et Cyberoam. Pour une sécurité optimale, WatchGuard vous recommande de spécifier une variante AES (128 bit ou 256 bit) pour le chiffrement.

## Collecter les paramètres d'adresse IP et de tunnel

Avant de pouvoir configurer un Branch Office VPN, vous devez collecter les adresses IP publiques de chaque périphérique et les adresses IP des réseaux privés auxquels vous souhaitez vous connecter. Vous devez également déterminer les paramètres des Phases 1 et 2 à utiliser pour le VPN. Cette procédure décrit comment configurer un Firebox de sorte que les paramètres de Phase 1 et de Phase 2 correspondent aux paramètres par défaut du périphérique Cyberoam.

Les paramètres d'adresse IP que vous collectez peuvent ressembler à ceci, par exemple :

WatchGuard Firebox :

Adresse IP de l'interface externe : 203.0.113.2

Adresse IP du réseau approuvé : 10.0.1.0/24

Périphérique Cyberoam :

Adresse IP de l'interface externe : 198.51.100.2

Adresse IP du réseau privé : 10.50.1.0/24

## Configurer le Firebox WatchGuard

Sur le Firebox, vous devez ajouter une passerelle VPN et ajouter un tunnel VPN qui utilise cette passerelle. Les paramètres de Phase 1 du Firebox doivent correspondre aux paramètres de Phase 1 du périphérique Cyberoam.

### Ajouter la passerelle VPN

Pour ajouter la passerelle VPN à partir de Fireware Web UI :

1. Sélectionnez VPN > Branch Office VPN.
2. Sous la liste Passerelles, cliquez sur Ajouter.
   La page de paramètres Passerelle s'ouvre.

1. Dans la zone de texte Nom de la passerelle, entrez un nom permettant d'identifier la passerelle en question.
2. Sélectionnez Utiliser la clé pré-partagée. Entrez la clé partagée.
   Cette clé partagée doit uniquement contenir des caractères ASCII standards. Ce doit être la même clé que celle utilisée sur le périphérique Cyberoam.
3. Sous la liste Extrémité de passerelle, cliquez sur Ajouter.
   La boîte de dialogue Paramètres des extrémités de passerelle apparaît.

1. Dans la liste déroulante Interface Externe, sélectionnez l'interface externe comportant l'adresse IP publique.
2. Sélectionnez Par adresse IP. Saisissez l'adresse IP externe (publique) du Firebox.
3. Sélectionnez l'onglet Passerelle distante.

1. Dans la section Spécifier l'adresse IP de la passerelle distante pour un tunnel, sélectionnez Adresse IP statique. Entrez l'adresse IP externe (publique) du périphérique Cyberoam.
2. Dans la section Spécifier l'ID de passerelle distante pour l'authentification du tunnel, sélectionnez Par Adresse IP. Saisissez l'adresse IP publique du périphérique Cyberoam.
3. Cliquez sur OK pour fermer la boîte de dialogue Paramètres des extrémités de passerelle.
   La paire de passerelles que vous avez définie apparaît dans la liste des extrémités de passerelle.
4. Sélectionnez l'onglet Paramètres de phase 1.

1. Dans la liste Paramètres de transformation, sélectionnez la transformation de phase 1 par défaut. Cliquez sur Modifier.
   La boîte de dialogue Transformation de Phase 1 s'affiche.
2. Dans la liste déroulante Chiffrement, sélectionnez AES (128 bits).
   Cela correspond à la valeur par défaut du périphérique Cyberoam.

1. Cliquez sur OK pour confirmer la modification apportée à la transformation de Phase 1.
   Ne modifiez pas les valeurs par défaut des autres paramètres de phase 1.
2. Cliquez sur Sauvegarder.
   La passerelle est ajoutée à la liste Passerelles.

Pour ajouter la passerelle VPN à partir de Policy Manager :

1. Dans Policy Manager, sélectionnez VPN > Passerelles Branch Office. Cliquez sur Ajouter.
   La boîte de dialogue Nouvelle passerelle s'affiche.
2. Dans la zone de texte Nom de la passerelle, entrez un nom permettant d'identifier la passerelle dans Policy Manager.

1. Sélectionnez Utiliser la clé pré-partagée. Entrez la clé partagée.
   Cette clé partagée doit uniquement contenir des caractères ASCII standards. Ce doit être la même clé que celle utilisée sur le périphérique Cyberoam.
2. Dans la section Points de terminaison de passerelle, cliquez sur Ajouter.
   La boîte de dialogue Paramètres des extrémités de la nouvelle passerelle apparaît.

1. Dans la liste déroulante Interface externe, sélectionnez l'interface externe comportant l'adresse IP publique.
2. Dans la section Passerelle locale, sélectionnez Par Adresse IP.
3. Sélectionnez l'adresse IP externe (publique) du périphérique dans la liste déroulante Adresse IP.
4. Dans la section Spécifier l'adresse IP de la passerelle distante pour un tunnel, sélectionnez Adresse IP statique. Entrez l'adresse IP externe (publique) du périphérique Cyberoam.
5. Dans la section Spécifier l'ID de passerelle pour l'authentification du tunnel, sélectionnez Par Adresse IP. Saisissez l'adresse IP publique du périphérique Cyberoam.
6. Cliquez sur OK.
   La paire d'extrémités de passerelle que vous avez définie apparaît dans la liste des extrémités de passerelle.
7. Dans la boîte de dialogue Nouvelle passerelle, sélectionnez l'onglet Paramètres de phase 1.

1. Dans la liste Paramètres de transformation, sélectionnez la transformation de phase 1 par défaut. Cliquez sur Modifier.
   La boîte de dialogue Transformation de phase 1 s'affiche.
2. Dans la liste déroulante Authentification, sélectionnez SHA1.
3. Dans la liste déroulante Chiffrement, sélectionnez AES (128 bits).
   Cela correspond à la valeur par défaut du périphérique Cyberoam.

1. Cliquez sur OK pour confirmer la modification apportée à la transformation de Phase 1.
   Ne modifiez pas les valeurs par défaut des autres paramètres de phase 1.
2. Cliquez sur OKpour ajouter la nouvelle passerelle.
3. Cliquez sur OK pour fermer la boîte de dialogue Passerelles.

### Ajouter un tunnel VPN

Après avoir défini la passerelle, vous pouvez ajouter un tunnel et configurer les paramètres de Phase 2.

Pour ajouter le tunnel VPN à partir de Fireware Web UI :

Créez une proposition de Phase 2 avec des paramètres correspondant à ceux par défaut de la Phase 2 sur le périphérique Cyberoam :

1. Sélectionnez VPN > Propositions de Phase 2.
2. Cliquez sur Ajouter.
3. Les paramètres de la proposition de Phase 2 apparaissent.
4. Dans la zone de texte Nom, saisissez un nom de tunnel significatif pour la proposition de Phase 2.
5. Dans la liste déroulante Chiffrement, sélectionnez AES (128 bits).
6. Suite à cette modification, les paramètres de proposition correspondent à la configuration par défaut du périphérique Cyberoam.
7. Cliquez sur Sauvegarder.

Créez un tunnel VPN qui utilise la nouvelle proposition de Phase 2 :

1. Sélectionnez VPN > Branch Office VPN.
2. Sous la liste Tunnels, cliquez sur Ajouter.

1. Dans la zone de texte Nom, saisissez un nom de tunnel significatif.
2. Dans la liste déroulante Passerelle, sélectionnez la passerelle que vous avez configurée vers le périphérique Cyberoam.
3. Sous la liste Adresses, cliquez sur Ajouter.
   La boîte de dialogue Paramètres de route de tunnel s'affiche.

1. Dans les paramètres IP locale, sélectionnez IPv4 réseau dans la liste déroulante Choisir le type. Saisissez l'adresse IP du réseau local pour lequel vous souhaitez utiliser le tunnel VPN.
2. Dans les paramètres IP distante, dans la liste déroulante Choisir le type, sélectionnez IPv4 réseau. Saisissez l'adresse IP du réseau privé du périphérique Cyberoam que vous utiliserez pour le tunnel VPN.
3. Cliquez sur OK pour ajouter la route de tunnel.
   La route de tunnel est ajoutée à l'onglet Adresses de la page de configuration du tunnel.
4. Sélectionnez l'onglet Paramètres de phase 2.
5. Cochez la case Activer la confidentialité PFS (Perfect Forward Secrecy).
   Cela correspond à la valeur par défaut du périphérique Cyberoam.
6. Dans la liste Propositions IPSec, sélectionnez la proposition par défaut ESP-AES-SHA1. Cliquez sur Supprimer.
7. Dans la liste déroulante Propositions IPSec, sélectionnez la proposition de Phase 2 ajoutée précédemment. Cliquez sur Ajouter.
8. Cliquez sur Sauvegarder.
   La configuration de route de tunnel est ajoutée à la liste Tunnels.

Pour ajouter le tunnel VPN à partir de Policy Manager :

1. Dans Policy Manager, sélectionnez VPN > Tunnels Branch Office.
   La boîte de dialogue Tunnels IPSec Branch Office s'affiche.
2. Cliquez sur Ajouter.
   La boîte de dialogue Nouveau tunnel s'affiche.

1. Dans la zone de texte Nom de tunnel, entrez un nom de tunnel pertinent.
2. Dans la liste déroulante Passerelle, sélectionnez la passerelle que vous avez configurée vers le périphérique Cyberoam.
3. Cliquez sur Ajouter pour ajouter une route de tunnel.
   La boîte de dialogue Paramètres de route de tunnel s'affiche.

1. Dans la zone de texte Local, saisissez l'adresse IP du réseau local pour lequel vous souhaitez utiliser le tunnel VPN.
2. Dans la zone de texte Distant, saisissez l'adresse IP du réseau privé du périphérique Cyberoam que vous utiliserez pour le tunnel VPN.
3. Cliquez surOKpour ajouter la route de tunnel.
   La route de tunnel est ajoutée à l'onglet Adresses de la boîte de dialogue Nouveau tunnel.
4. Cliquez sur l'onglet Paramètres de phase 2.
5. Cochez la case PFS.
   Cela correspond à la valeur par défaut du périphérique Cyberoam.
6. Dans la section Propositions IPSec, sélectionnez l'entrée par défaut ESP-AES-SHA1.
7. Cliquez sur Supprimer, puis sur OK pour confirmer que vous souhaitez supprimer la proposition.
8. Cliquez sur Ajouter pour ajouter une proposition IPSec.
9. Sélectionnez Créer une nouvelle proposition de Phase 2.
10. Dans la zone de texte Nom, saisissez un nom de proposition significatif.
11. Dans la liste déroulante Chiffrement, sélectionnez AES (128 bits).
    Laissez les autres paramètres à leur valeur par défaut.
12. Pour ajouter la Nouvelle Proposition de Phase 2, cliquez sur OK.
13. Cliquez sur OK pour ajouter le nouveau tunnel à la configuration.
14. Cliquez sur Fermer pour fermer la boîte de dialogue Tunnels IPSec Branch Office.

## Configurer le périphérique Cyberoam

Cette procédure décrit comment configurer manuellement les paramètres VPN pour le périphérique Cyberoam. L'interface Web Cyberoam comprend également un assistant de configuration pour la configuration VPN, mais vous pouvez utiliser cette procédure comme guide pour apprendre à consulter les paramètres de n'importe quelle configuration VPN existante.

Dans l'interface de gestion Web Cyberoam :

1. Sélectionnez VPN > IPSec.
2. Cliquez sur Ajouter.
3. Localisez la section Paramètres généraux sur la page.

1. Dans la zone de texte Nom, saisissez un nom de connexion significatif.
2. Dans la liste déroulante Type de connexion, sélectionnez Site à site.
3. Dans la liste Stratégie, sélectionnez la stratégie DefaultHeadOffice.

Dans les anciennes versions du logiciel Cyberoam, ce type de connexion est appelé Net à net.

1. Localisez la section Détails d'authentification sur la page.

1. Dans la liste déroulante Type d'authentification, sélectionnez Clé prépartagée.
2. Dans les deux zones de texte Clé pré-partagée, saisissez et confirmez la clé partagée que vous avez configurée dans les paramètres de passerelle du périphérique WatchGuard.
3. Localisez la section Détails des points de terminaison sur la page.

1. Dans la liste déroulante Local, sélectionnez l'interface sur le périphérique Cyberoam à utiliser comme point de terminaison VPN.
   L'adresse IP de l'interface que vous sélectionnez doit correspondre à l'adresse IP que vous avez configurée comme ID de passerelle distante sur le périphérique WatchGuard.
2. Dans la zone de texte Distant, saisissez l'adresse IP publique du Firebox.
   Cette adresse IP doit correspondre à l'ID de passerelle locale sur le périphérique WatchGuard.
3. Localisez la section Détails du réseau sur la page.

1. Cliquez sur Ajouter.
   La boîte de dialogue Ajouter une adresse réseau s'affiche.

1. Dans la liste déroulante Adresse LAN locale, sélectionnez Adresse LAN locale.

1. Cliquez sur Ajouter un hôte d'IP.

1. Dans la zone de texte Nom, saisissez un nom de réseau local significatif.
2. Sélectionnez Réseau à côté de Type.
3. Dans la zone de texte Adresse IP, saisissez l'adresse IP réseau du réseau local qui se connecte au périphérique Cyberoam.
4. Dans la liste déroulante Sous-réseau, sélectionnez le masque de sous-réseau du réseau local.
5. Cliquez sur OK pour ajouter l'hôte d'IP.
6. Cliquez sur OK pour fermer la boîte de dialogue Ajouter une adresse réseau.
7. Dans la liste déroulante ID local, sélectionnez Adresse IP. Saisissez l'adresse IP publique du périphérique Cyberoam dans la zone de texte adjacente.
8. Localisez la section Détails du réseau distant sur la page.
9. Dans la liste déroulante Réseau LAN distant, sélectionnez Réseau distant.
10. Cliquez sur Ajouter un hôte d'IP.

1. Dans la zone de texte Nom, saisissez un nom de réseau distant significatif.
2. Sélectionnez Réseau à côté de Type.
3. Dans la zone de texte Adresse IP, saisissez l'ID du sous-réseau pour le réseau distant.
4. Dans la liste déroulante Sous-réseau, sélectionnez le masque de sous-réseau du réseau distant.
5. Cliquez sur OK pour ajouter l'hôte d'IP.
6. Cliquez sur OK pour fermer la boîte de dialogue Ajouter une adresse réseau.
7. Dans la liste déroulante ID distant, sélectionnez Adresse IP. Saisissez l'adresse IP publique du Firebox dans la zone de texte adjacente.
8. Cliquez sur OK au bas de la page pour ajouter la configuration VPN.

### Activer la connexion

Après avoir terminé la configuration VPN sur le périphérique Cyberoam, vous devez activer la connexion. Pour activer la connexion, cliquez sur l'indicateur rouge dans la colonne Actif et cliquez sur OK.

### Confirmer l'autorisation des connexions par le périphérique Cyberoam

Par défaut, le périphérique Cyberoam n'ajoute aucune stratégie pour autoriser le trafic vers et depuis les hôtes VPN distants. Une fois que vous avez configuré le VPN, sélectionnez Pare-feu > Règles et recherchez les règles d'autorisation VPN-LAN et LAN-VPN. Si vous ne voyez pas ces règles, suivez ces étapes pour ajouter les règles nécessaires dans l'interface de gestion Web Cyberoam.

Ajoutez une règle pour autoriser le trafic du réseau local vers le VPN :

1. Sélectionnez Pare-feu > Règle.
2. Cliquez sur Ajouter.

1. Dans la zone de texte Nom, saisissez un nom de nouvelle règle significatif. Par exemple, LAN-VPN.
2. Définissez la Zone source sur LAN.
3. Définissez la Zone de destination sur VPN.
4. Définissez l'Action sur Accepter.
5. Cliquez sur OK pour enregistrer la nouvelle règle.

Ajouter une autre règle pour autoriser le trafic en provenance du VPN vers le réseau local :

1. Cliquez sur Ajouter.
2. Dans la zone de texte Nom, saisissez un nom de nouvelle règle significatif. Par exemple, VPN-LAN.
3. Définissez la Zone source sur VPN.
4. Définissez la Zone de destination sur LAN.
5. Définissez l'Action sur Accepter.
6. Cliquez sur OK pour enregistrer la nouvelle règle.

Après avoir configuré le VPN sur les deux périphériques, vous pouvez essayer d'envoyer du trafic par le tunnel pour tester le VPN.

#### Voir aussi

Dépanner les Tunnels Branch Office VPN

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique