Rubriques Connexes

# Configurer un VPN de Fireware v11.x vers Edge 10.x (Web UI)

Un tunnel de Branch Office Virtual Private Network (BOVPN) est un moyen sécurisé d'échanger des données via Internet entre des réseaux ou entre un hôte et un réseau. Cette rubrique vous indique comment définir un tunnel de BOVPN manuel dans Fireware Web UI pour un périphérique v11.x et sur Edge Web UI v10.x.

Pour le même exemple configuré dans Policy Manager, consultez Configurer un VPN de Fireware vers Edge 10.x (WSM)

Cette rubrique ne donne aucune information détaillée sur les différents paramètres des boîtes de dialogue du réseau BOVPN ni sur la manière dont ils affectent un tunnel existant. Si vous voulez en savoir plus sur un paramètre précis, voir :

- À propos des Tunnels Branch Office VPN Manuels
- Configurer des Passerelles BOVPN Manuelles
- Configurer des Tunnels BOVPN Manuels

## Collecter les paramètres d'adresse IP et de tunnel

Pour créer un tunnel BOVPN manuel, vous devez d'abord collecter les adresses IP et définir les paramètres des points de terminaison. Il peut être utile d'imprimer ce document, de noter ou d'indiquer les valeurs à utiliser, afin de vous y référer au moment de la configuration des paramètres dans Policy Manager.

Dans cette rubrique, les deux points de terminaison doivent avoir une adresse IP externe statique.

Pour plus d'informations sur les tunnels BOVPN vers des périphériques ayant une adresse IP externe dynamique, consultez Définir des extrémités de passerelle pour une passerelle BOVPN.

Si vous administrez un des deux périphériques seulement, vous pouvez donner le tableau à l'autre administrateur pour vous assurer qu'il ou elle utilise exactement les mêmes valeurs pour les paramètres de phase 1 et de phase 2.

Assurez-vous de configurer correctement les points de terminaison du réseau VPN et de définir des paramètres de phases 1 et 2 identiques sur les deux périphériques. Les tunnels ne fonctionnent pas si les paramètres ne correspondent pas.

Si un paramètre ne figure pas dans cette liste, ne modifiez pas la valeur par défaut.

### Paramètres du tunnel BOVPN

SITE A (périphérique XTM avec Fireware XTM v11.x)

Adresse IP publique : ______________________________

Adresse IP privée : _____________________________

SITE B (Firebox X Edge e-Series avec Edge v10.x)

Adresse IP publique : ______________________________

Adresse IP privée : _____________________________

### Paramètres de PHASE 1 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Nous vous recommandons de sélectionner la Conservation d'activité IKE ou la Détection DPD (Dead Peer Detection) (RFC3706). Mais ne les sélectionnez pas toutes les deux. Sélectionnez Détection DPD (Dead Peer Detection) si les deux périphériques de terminaison la prennent en charge. Sélectionnez Conservation d'activité IKE si les deux points de terminaison sont des périphériques XTM ou Firebox, mais que l'un d'entre eux ne reconnaît pas la détection DPD (Dead Peer Detection). La conservation d'activité IKE est utilisée uniquement par les périphériques XTM ou Firebox. Ne sélectionnez pas cette option si l'un des points de terminaison est un périphérique tiers.

Méthode d'informations d'identification : Sélectionnez Utiliser la clé pré-partagée.

Mode (choisissez une seule option) : Principal____ Agressif____

Clé pré-partagée : ______________________________

Parcours NAT : Oui ____ Non ____

Intervalle de conservation d'activité du Parcours NAT : ________________

Conservation d'activité IKE : Oui ____ Non ____

Intervalle entre les messages de conservation d'activité IKE : ________________

Nombre d'échecs max de la conservation d'activité IKE : ________________

Détection DPD (Dead Peer Detection) (RFC3706) : Oui ____ Non ____

Délai d'inactivité du trafic de la détection DPD (Dead Peer Detection) : ________________

Nombre maximal de tentatives de détection DPD (Dead Peer Detection) : ________________

Algorithme d'authentification (choisissez une seule option) : SHA1____ MD5____

Algorithme de chiffrement (choisissez une seule option) : DES____ 3DES____ AES-128____ AES-192____ AES-256____

SA Life ________________

Sélectionnez Heures comme unité de SA Life.

Groupe Diffie-Hellman (choisissez une seule option) : 1____ 2____ 5____

### Paramètres de PHASE 2 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Type : AH ____ ESP ____

Algorithme d'authentification (choisissez une seule option) : Aucun____ MD5____ SHA1____

Algorithme de chiffrement (choisissez une seule option) : DES____ 3DES____ AES-128____ AES-192____ AES-256____

Forcer l'expiration de la clé (choisissez une seule option) : Activer____ Désactiver____

Confidentialité PFS (Groupe Diffie-Hellman) : Désactiver____ Groupe1____ Groupe2____ Groupe5____

Expiration de la clé de Phase 2 (heures) ________________

Expiration de la clé de Phase 2 (kilo-octets) ________________

## Exemples de paramètres de tunnel

Cette page affiche les mêmes champs que la page précédente avec l'indication des paramètres d'exemple. Ces paramètres correspondent à ceux indiqués dans les captures d'écran utilisées tout au long de ce document.

SITE A (périphérique XTM avec Fireware XTM v11.x)

Adresse IP publique : 203.0.113.2

Adresse IP du réseau privé : 10.0.1.0/24

SITE B (Firebox X Edge e-Series avec Edge v10.x)

Adresse IP publique : 198.51.100.2

Adresse IP du réseau privé : 10.50.1.0/24

### Paramètres de PHASE 1 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Méthode d'informations d'identification : Sélectionnez Utiliser la clé pré-partagée.

Mode (choisissez une seule option) : Principal

Clé pré-partagée : SiteA_vers_SiteB

Parcours NAT : Oui (Y)

Intervalle d'activité du Parcours NAT : 20 secondes

Conservation d'activité IKE : Non (N)

Intervalle entre les messages de conservation d'activité IKE : aucun

Nombre d'échecs max de la conservation d'activité IKE : aucun

Détection DPD (Dead Peer Detection) (RFC3706) : Oui (Y)

Délai d'inactivité du trafic de la détection DPD (Dead Peer Detection) : 20 secondes

Nombre maximal de tentatives de détection DPD (Dead Peer Detection) : 5

Algorithme d'authentification (choisissez une seule option) : SHA1

Algorithme de chiffrement (choisissez une seule option) : 3DES

SA Life : 8

Sélectionnez Heures comme unité de SA Life.

Groupe Diffie-Hellman (choisissez une seule option) : 2

### Paramètres de PHASE 2 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Type : ESP

Algorithme d'authentification (choisissez une seule option) : SHA1

Algorithme de chiffrement (choisissez une seule option) : AES (256 bits)

Forcer l'expiration de la clé (choisissez une seule option) : Activer

Confidentialité PFS (Groupe Diffie-Hellman) : Désactiver

Expiration de la clé de phase 2 (heures) : 8

Expiration de la clé de phase 2 (kilo-octets) : 128 000

Si vous utilisez WSM v11.x et Edge v10.2.2 ou une version ultérieure, les paramètres d'exemple de Phases 1 et 2 correspondent aux paramètres par défaut. Ils correspondent également aux paramètres par défaut de WSM v10.2.2 et ultérieure. Ils ne correspondent pas aux paramètres des versions antérieures des logiciels WSM ou Edge.

## Configurer le site A, Fireware 11.x

Pour ajouter une passerelle VPN depuis Fireware Web UI :

1. Sélectionnez VPN > BOVPN.
   La page de configuration du réseau BOVPN s'ouvre, avec la liste Passerelles en haut de page.
2. Pour ajouter une passerelle, cliquez sur Ajouter à côté de la liste Passerelles.
   La page de paramètres Passerelle s'ouvre.

1. Dans la zone de texte Nom de la passerelle, entrez un nom permettant d'identifier la passerelle dans Policy Manager.
2. Sélectionnez Utiliser la clé pré-partagée. Entrez la clé partagée.
   Cette clé partagée doit uniquement contenir des caractères ASCII standards.
3. Dans la section Extrémités de passerelle, cliquez sur Ajouter.
   La boîte de dialogue Paramètres des nouvelles extrémités de passerelle apparaît.

1. Dans la section Passerelle locale, sélectionnez Par Adresse IP.
2. Dans la zone de texte Par adresse IP, entrez l'adresse IP externe (publique) du périphérique XTM du site A.
3. Dans la liste déroulante Interface externe, sélectionnez l'interface ayant l'IP externe (publique) du périphérique XTM du site A.
4. Sélectionnez l'onglet Passerelle distante.
5. Dans la section Passerelle distante, sélectionnez Adresse IP statique.
6. Dans la zone de texte Adresse IP, entrez l'adresse IP externe (publique) du Firebox du site B.
7. Sélectionnez Par adresse IP.
8. Dans la zone de texte Par adresse IP, entrez l'adresse IP externe (publique) du Firebox du site B.
9. Cliquez sur OK pour fermer la boîte de dialogue Paramètres de points de terminaison de la nouvelle passerelle.
   La paire de passerelles que vous avez définie apparaît dans la liste des points de terminaison de passerelle.

### Configurer les paramètres de phase 1

Lors de la phase 1 de l'établissement d'une connexion IPSec, les deux pairs créent un canal sécurisé et authentifié pour communiquer. Il s'agit de l'association de sécurité (SA) ISAKMP.

1. Sélectionnez l'onglet Paramètres de phase 1.

1. Dans la liste déroulante Mode, sélectionnez Principal ou Agressif. Assurez-vous de choisir le même paramètre que dans les Paramètres du tunnel BOVPN au début de cette rubrique.
   L'exemple utilise le mode Principal, car les deux points de terminaison ont une adresse IP statique. Si l'un des points de terminaison a une adresse IP dynamique, vous devez utiliser le mode Agressif.
2. Sélectionnez Parcours NAT, Conservation d'activité IKE ou Détection DPD (Dead Peer Detection) (RFC3706). Assurez-vous de sélectionner les mêmes valeurs que dans les Paramètres du tunnel BOVPN.

Pour un tunnel BOVPN entre un périphérique XTM et Edge v10.2.2 ou ultérieure, nous vous recommandons de sélectionner Parcours NAT et Détection DPD (Dead Peer Detection).

1. Dans la section Paramètres de transformation, sélectionnez la transformation par défaut et cliquez sur Modifier.

1. Dans les listes déroulantes Authentification et Chiffrement, sélectionnez les méthodes choisies dans les Paramètres du tunnel BOVPN.
2. Dans la zone de texte SA Life, entrez le paramètre retenu dans les Paramètres du tunnel BOVPN. Dans la liste déroulante, sélectionnez Heures.
3. Dans la liste déroulante Groupe de clés, sélectionnez un groupe Diffie-Hellman.
4. Cliquez sur OK. Conservez les valeurs par défaut des autres paramètres de phase 1.
5. Cliquez sur Enregistrer pour fermer la page Passerelle.
   La passerelle ajoutée apparaît dans la liste Passerelles de la page BOVPN.

### Ajouter un tunnel VPN

Après avoir défini des passerelles, vous pouvez créer des tunnels entre elles. Lorsque vous créez un tunnel, vous devez spécifier :

- Routes (points de terminaison local et distant du tunnel)
- Paramètres de phase 2 de la négociation IKE (Internet Key Exchange).

Pour ajouter un tunnel VPN :

1. Sous la liste Tunnels, cliquez sur Ajouter.
   La page Configuration du tunnel s'affiche.

1. Dans la zone de texte Nom de tunnel, entrez le nom du tunnel.
2. Dans la liste déroulante Passerelle, sélectionnez la passerelle que vous avez créée.
3. Sélectionnez l'onglet Adresses.
4. Pour ajouter le tunnel aux stratégies BOVPN-Allow.in et BOVPN-Allow.out, dans l'onglet Adresses, cochez la case Ajouter ce tunnel aux stratégies d'autorisation BOVPN-Allow.

Ces stratégies autorisent tout le trafic correspondant aux routes du tunnel. Si vous souhaitez restreindre le trafic dans le tunnel, désactivez cette case à cocher et utilisez l'Assistant BOVPN Policy Wizard afin de créer des stratégies pour les types de trafic que vous voulez autoriser à passer par le tunnel.

1. Dans la section Adresses, cliquez sur Ajouter.
   La boîte de dialogue Paramètres de route de tunnel s'affiche.

1. Dans la section IP locale, dans la liste déroulante Choisir le type, sélectionnez le type de l'adresse locale.
2. Dans la zone de texte IP réseau, entrez l'adresse du réseau local (privé).
   Il s'agit de l'adresse IP du réseau privé du site A.
3. Dans la section IP distante, dans la liste déroulante Choisir le type, sélectionnez le type d'adresse distante.
4. Dans la zone de texte IP réseau, entrez l'adresse du réseau distant (privé).
   Il s'agit de l'adresse IP du réseau privé du site B.
5. Dans la liste déroulante Direction, sélectionnez le sens du tunnel. Le sens du tunnel détermine quel point de terminaison du tunnel VPN peut démarrer une connexion VPN à travers le tunnel.
6. Cliquez sur OK.
   La route du tunnel apparaît dans la page de paramètres Tunnel, section Adresses.

### Configurer les paramètres de phase 2

Les paramètres de phase 2 comprennent les paramètres d'une association de sécurité (AS) qui définit la manière dont les paquets de données sont sécurisés lorsqu'ils sont transmis entre deux points de terminaison. L'association de sécurité conserve toutes les informations nécessaires pour que le périphérique XTM sache comment traiter le trafic entre les points de terminaison.

1. Dans la page de paramètres Tunnel, sélectionnez l'onglet Paramètres de Phase 2.

1. Pour activer le Perfect Forward Secrecy (PFS), activez la case à cocher PFS.
2. Si vous activez la confidentialité PFS, dans la liste déroulante PFS, sélectionnez le groupe Diffie-Hellman correspondant.
3. Le périphérique XTM contient une proposition par défaut qui figure dans la liste Propositions IPSec. Cette proposition associe la méthode de protection des données ESP, le chiffrement AES et l'authentification SHA1. Dans cet exemple, nous utilisons la proposition par défaut. Vous pouvez :

- Cliquer sur Ajouter pour ajouter la proposition par défaut.
- Supprimer la proposition par défaut. Ensuite, sélectionnez une autre proposition dans la liste déroulante et cliquez sur Ajouter.
- Ajoutez une proposition supplémentaire, comme indiqué dans Ajouter une proposition de phase 2.

1. Cliquez sur Sauvegarder.
   Le tunnel créé apparaît dans la liste des tunnels sur la page BOVPN.

Le périphérique XTM du site A est à présent configuré.

## Configurer le site B, Edge v10.x

Configurez maintenant la passerelle sur le site équipé d'un Firebox X Edge.

Pour vous connecter à la page État du système, tapez https:// dans la barre d'adresses du navigateur, suivi de l'adresse IP de l'interface approuvée du Firebox X Edge.

1. Sélectionnez VPN > Manual VPN.
   La page Manual VPN s'affiche.

1. Cliquez sur Ajouter.
   La page Ajouter une passerelle s'ouvre.

1. Dans la zone de texte Nom, entrez le nom du tunnel IPSec. Utilisez des caractères ASCII standards, sans espace.
   Le nom ne doit pas nécessairement correspondre au nom du tunnel sur Fireware Firebox.
2. Dans la liste déroulante Méthode d'informations d'identification, sélectionnez Clé partagée.
3. Dans la zone de texte Clé partagée, entrez la clé utilisée pour la configuration du site A.

### Configurer les paramètres de phase 1

1. Dans la liste déroulante Mode, sélectionnez Mode principal ou Mode agressif. Assurez-vous de choisir le même paramètre que dans les Paramètres du tunnel BOVPN au début de cette rubrique.
2. Dans la zone de texte ID local, entrez l'adresse IP publique du Edge.
3. Dans la liste déroulante Type, sélectionnez Adresse IP.
4. Dans la section Configuration de la passerelle distante, dans la liste déroulante de la colonne Type, sélectionnez Adresse IP.
5. Dans les zones de texte des colonnes IP de la passerelle distante et ID distant, entrez l'adresse IP publique du périphérique XTM du site A.
6. Cliquez sur Ajouter.
7. Dans les listes déroulantes Algorithme d'authentification et Algorithme de chiffrement, sélectionnez les mêmes algorithmes que ceux choisis dans les Paramètres du tunnel BOVPN au début de cette rubrique.
8. Dans les zones de texte La négociation expire dans, entrez le nombre de kilo-octets et d'heures.
9. Dans la liste déroulante Groupe Diffie-Hellman, sélectionnez 1, 2 ou 5.
10. Sélectionnez Envoyer un message de conservation d'activité IKE ou Activer la détection DPD (Dead Peer Detection). Assurez-vous de choisir les mêmes valeurs que dans les Paramètres du tunnel BOVPN au début de cette rubrique.

### Configurer les paramètres de phase 2

1. Dans les listes déroulantes Algorithme d'authentification et Algorithme de chiffrement, sélectionnez les mêmes algorithmes que ceux choisis à la page des Paramètres BOVPN.
2. N'activez pas la case à cocher Activer le type de service (TOS) pour IPSec.
3. N'activez pas la case à cocher Activer PFS.
4. Dans les zones de texte La clé expire dans, entrez le nombre de kilo-octets et d'heures.
5. Dans la zone de texte Réseau local, entrez l'adresse IP du réseau privé du Firebox X Edge sur le site B.
6. Dans la zone de texte Réseau distant, entrez l'adresse IP du réseau privé du site A.
7. Cliquez sur Ajouter.
8. Pour enregistrer tous les paramètres dans la configuration d'Edge, cliquez sur Envoyer.

### Configurer la conservation d'activité VPN

Pour garder le tunnel VPN ouvert lorsqu'il n'est traversé par aucune connexion, vous pouvez utiliser l'adresse IP d'un ordinateur se trouvant à l'autre extrémité du tunnel en tant qu'hôte d'écho. Le Firebox X Edge envoie une requête ping toutes les minutes à l'hôte spécifié. Utilisez l'adresse IP d'un hôte qui est toujours en ligne et qui peut répondre aux messages ping. Vous pouvez également spécifier plusieurs adresses IP pour que le périphérique Firebox X Edge puisse envoyer une requête ping à plusieurs hôtes à travers différents tunnels.

1. Sélectionnez VPN > Conservation d'activité VPN.
   La page Conservation d'activité VPN s'ouvre.

1. Dans la zone de texte Adresse de l'hôte, entrez l'adresse IP de l'hôte d'écho.
2. Cliquez sur Ajouter.
3. Répétez les étapes 3 et 4 pour ajouter d'autres hôtes d'écho.
4. Cliquez sur Envoyer.

Le Firebox X Edge du site B est à présent configuré.

Une fois les deux extrémités du tunnel configurées, le tunnel s'ouvre et le trafic transite par le tunnel. Si le tunnel ne fonctionne pas, examinez les fichiers journaux des périphériques XTM et Firebox X Edge de la période à laquelle vous avez essayé de démarrer le tunnel. Des messages de journal apparaissent dans le fichier journal pour indiquer où l'échec se situe dans la configuration et les paramètres qui peuvent contribuer au problème. Vous pouvez également consulter les messages de journal en temps réel du périphérique XTM dans Firebox System Manager, ou sur la page Journalisation du périphérique Edge.

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique