Rubriques Connexes

# Configurer les stratégies d'un périphérique WatchGuard SSL

Si vous disposez d'un périphérique WatchGuard Firebox et d'un périphérique WatchGuard SSL, il est conseillé d'installer le périphérique SSL derrière votre Firebox sur votre réseau. Vous devez ensuite ajouter une stratégie HTTPS à la configuration du Firebox de manière à autoriser les connexions entrantes vers le périphérique SSL. La procédure que vous utilisez pour ajouter la stratégie dépend du fait que votre périphérique WatchGuard SSL ait une adresse IP réseau publique ou privée.

Si votre périphérique WatchGuard SSL a une adresse IP privée

Configurez le Firebox avec une stratégie HTTPS employant le NAT statique. Cette stratégie doit autoriser les connexions sur le port 443 depuis toutes les adresses IP externes vers l'adresse IP privée du périphérique SSL WatchGuard.

Pour les instructions de configuration de cette stratégie, voir l'exemple 1.

Si votre périphérique WatchGuard SSL a une adresse IP publique

Configurez le périphérique Firebox à l'aide d'une stratégie HTTPS qui autorise les connexions sur le port 443 depuis toutes les adresses IP externes vers l'adresse IP publique du périphérique SSL WatchGuard.

Pour les instructions de configuration de cette stratégie, voir l'exemple 2.

## Exemple nº1 — Périphérique WatchGuard SSL avec une Adresse IP Privée

Dans cet exemple, le périphérique WatchGuard SSL est connecté au réseau facultatif de votre périphérique Firebox. Le périphérique WatchGuard SSL a une adresse IP privée.

Paramètres WatchGuard Firebox

- Adresse IP publique — 203.0.113.1/24
- Adresse IP du réseau approuvé — 10.0.1.1/24
- Adresse IP de réseau facultatif — 10.0.2.1/24

Paramètres du périphérique WatchGuard SSL 100

- Mode interface réseau — Mode interface unique
- Port de portail d'application — 443
- Port HTTPS administrateur — 8443
- Adresse IP Eth0 — 10.0.2.60
- Passerelle par défaut — 10.0.2.1/24 (l'adresse IP du réseau facultatif du périphérique Firebox)

Ressources SSL partagées situées sur un réseau différent

Serveur HTTP (intranet) — Situé sur le réseau approuvé du périphérique Firebox à l'adresse 10.0.1.80

### Ajouter une Stratégie HTTPS de manière à Autoriser les Connexions Entrantes

Pour configurer le Firebox afin d'autoriser les connexions vers le périphérique SSL WatchGuard, vous devez ajouter une stratégie de filtrage de paquets HTTPS autorisant les connexions provenant du réseau externe vers l'adresse Eth0 du périphérique SSL.

1. Ouvrez Policy Manager pour le Firebox qui protège votre périphérique SSL.
2. Cliquez sur .
   Sinon, sélectionnez Modifier Ajouter une stratégie.
   La boîte de dialogue Ajouter des stratégies s'ouvre.
3. Ouvrez le dossier Filtres de Paquets et sélectionnez HTTPS.

1. Cliquez sur Ajouter.
   La boîte de dialogue Propriétés de la nouvelle stratégie apparaît.

1. (Facultatif) Pour changer le nom de la stratégie, saisissez un nouveau nom dans la zone de texte Nom.
   Pour cet exemple, tapez HTTPS-SSLVPN.
2. Dans la liste De, sélectionnez Tout-Approuvé. Cliquez sur Supprimer.
3. Dans la section De, cliquez sur Ajouter et ajoutez l'adresse à cette stratégie.
   La boîte de dialogue Ajouter une adresse s'affiche.
4. Dans la liste Membres Disponibles, sélectionnez Tout-Externe. Cliquez sur Ajouter.
   Tout-Externe s'affiche dans la liste Membres et adresses sélectionnés.
5. Cliquez sur OK.
   Tout-Externe s'affiche dans la liste De de la boîte de dialogue Propriétés de stratégie.
6. Dans la liste Vers, sélectionnez Tout-Externe. Cliquez sur Supprimer.
7. Dans la section Vers, cliquez sur Ajouter.
   La boîte de dialogue Ajouter une adresse s'affiche.
8. Cliquez sur Ajouter SNAT.
   La boîte de dialogue SNAT apparaît.
9. Cliquez sur Ajouter.
   La boîte de dialogue Ajouter SNAT apparaît.
10. Dans la zone de texte Nom de la SNAT, tapez le nom de cette action SNAT.
11. Assurez-vous que l'option NAT Statique est sélectionnée.
12. Cliquez sur Ajouter.
    La boîte de dialogue Ajouter la traduction d'adresses réseau statique s'affiche.
13. Dans la liste déroulante Adresse IP Externe, sélectionnez l'adresse IP à utiliser pour les NAT Statique.
    Dans cet exemple, sélectionnez Externe. Le périphérique utilise alors l'adresse IP du Firebox Externe, qui est 203.0.113.1.
14. Dans la zone de texte Adresse IP Interne, saisissez l'adresse Eth0 du périphérique SSL.
    Dans cet exemple, l'adresse IP est 10.0.2.60.

1. Cliquez sur OK.
   Dans la boîte de dialogue Ajouter une SNAT, les adresses IP apparaissent dans la liste Membres SNAT.
2. Cliquez sur OK.
   L'entrée SNAT apparaît dans la boîte de dialogue SNAT.
3. Cliquez sur OK.
   Dans la boîte de dialogue Ajouter une adresse, l'entrée NAT statique apparaît dans la liste Membres et adresses sélectionnés.
4. Cliquez sur OK.
   Dans la boîte de dialogue Propriétés de la nouvelle stratégie, l'entrée SNAT statique s'affiche dans la liste Vers.

1. Cliquez sur OK.
   La nouvelle stratégie s'affiche dans Policy Manager.
2. Dans la boîte de dialogue Ajouter des Stratégies, cliquez sur Fermer.
3. Enregistrez la configuration sur le Firebox.

### Ajouter une stratégie pour activer l'accès à une ressource partagée

Si vous disposez d'une ressource partagée n'appartenant pas au réseau interne du périphérique SSL WatchGuard, vous devez ajouter une stratégie à la configuration du Firebox de manière à autoriser les connexions entre le périphérique SSL WatchGuard et ces ressources. Le type de stratégie à ajouter dépend du type de ressource.

Dans cet exemple, vous utilisez Policy Manager de manière à autoriser les connexions entre le périphérique SSL WatchGuard situé sur le réseau facultatif 10.0.2.0 et la ressource partagée par le serveur HTTP située sur le réseau approuvé 10.0.1.0. La ressource étant un serveur HTTP, vous devez ajouter une stratégie HTTP à la configuration de votre Firebox.

1. Cliquez sur .
   Sinon, sélectionnez Modifier > Ajouter une Stratégie.
   La boîte de dialogue Ajouter des stratégies s'ouvre.
2. Ouvrez le dossier Filtres de paquets et sélectionnez HTTP. Cliquez sur Ajouter.
   La boîte de dialogue Propriétés de la nouvelle stratégie apparaît.

1. (Facultatif) Pour changer le nom de la stratégie, saisissez un nouveau nom dans la zone de texte Nom.
   Dans cet exemple, tapez HTTPS-SSLVPN-Ressource.
2. Dans la liste De, sélectionnez Tout-Approuvé. Cliquez sur Supprimer.
3. Dans la section De, cliquez sur Ajouter.
   La boîte de dialogue Ajouter une adresse s'affiche.
4. Cliquez sur Ajouter autre.
   La boîte de dialogue Ajouter un membre s'affiche. Le Type est réglé sur IP d'hôte par défaut.
5. Dans la zone de texte Valeur, saisissez l'adresse IP Eth0 du périphérique WatchGuard SSL.
   Dans cet exemple, saisissez 10.0.2.60.

1. Cliquez sur OK.
   L'adresse IP s'affiche dans la liste Ajouter les membres et adresses sélectionnés.
2. Cliquez sur OK.
   Dans la boîte de dialogue Propriétés de la nouvelle stratégie, l'adresse IP s'affiche dans la liste Vers.
3. Dans la liste Vers, sélectionnez Tout-Externe. Cliquez sur Supprimer.
4. Dans la section Vers, cliquez sur Ajouter.
   La boîte de dialogue Ajouter une adresse s'affiche.
5. Cliquez sur Ajouter autre.
   La boîte de dialogue Ajouter un membre s'affiche. Le Type est réglé sur IP d'hôte par défaut.
6. Dans la zone de texte Valeur, saisissez l'adresse IP de la ressource serveur HTTP interne sur le réseau approuvé.
   Dans cet exemple, saisissez 10.0.1.80.

1. Cliquez sur OK.
   L'adresse IP s'affiche dans la boîte de dialogue Ajouter une adresse, liste Membres et adresses sélectionnés.
2. Cliquez sur OK.
   La boîte de dialogue Propriétés de la Nouvelle Stratégie s'affiche avec l'adresse IP dans la liste Vers.

1. Cliquez sur OK.
   La nouvelle stratégie s'affiche dans Policy Manager.
2. Dans la boîte de dialogue Ajouter des Stratégies, cliquez sur Fermer.
3. Enregistrez la configuration sur le Firebox.

Le périphérique Firebox est à présent configuré pour autoriser le périphérique WatchGuard SSL à communiquer avec la ressource sur l'autre réseau interne. Pour activer l'accès vers d'autres ressources partagées sur un réseau différent, vous devez créer une stratégie de pare-feu pour autoriser l'accès à chaque ressource partagée.

### Ajouter une Stratégie Personnalisée pour la Gestion de Périphérique SSL

Afin de gérer votre périphérique SSL WatchGuard depuis un ordinateur situé sur un autre réseau interne, vous devez ajouter une stratégie personnalisée de manière à autoriser les connexions sur le port 8443. Par exemple, si vous souhaitez utiliser un ordinateur sur le réseau approuvé pour gérer le périphérique SSL, vous pouvez utiliser Policy Manager pour ajouter une stratégie personnalisée.

1. Cliquez sur .
   Sinon, sélectionnez Modifier > Ajouter une Stratégie.
   La boîte de dialogue Ajouter des stratégies s'ouvre.
2. Cliquez sur Nouveau.
   La boîte de dialogue Nouveau modèle de stratégie s'affiche.

1. Dans la zone de texte Nom, saisissez un nom pour ce modèle de stratégie.
   Dans cet exemple, tapez SSLVPN-Management.
2. (Facultatif) Saisissez une description de la stratégie.
   Dans cet exemple, saisissez Accès au WatchGuard SSL 100 Web UI.
3. Pour le Type de stratégie, sélectionnez Filtre de Paquets.
4. Cliquez sur Ajouter.
   La boîte de dialogue Ajouter un protocole s'affiche.

1. Dans la liste déroulante Type, sélectionnez Port Unique.
2. Dans la liste déroulante Protocoles, sélectionnez TCP.
3. Dans la zone de texte Port du Serveur, saisissez 8443.

1. Cliquez sur OK.
   La boîte de dialogue Nouveau modèle de stratégie s'affiche avec le protocole TCP:8443 ajouté.

1. Cliquez sur OK.
   La boîte de dialogue Ajouter des stratégies s'affiche avec le modèle de stratégie que vous venez de créer sélectionné.
2. Cliquez sur Ajouter.
   La boîte de dialogue Propriétés de la nouvelle stratégie s'affiche pour le modèle que vous venez de créer.

1. Dans la liste Vers, sélectionnez Tout-Externe. Cliquez sur Supprimer.
2. Dans la section Vers, cliquez sur Ajouter.
   La boîte de dialogue Ajouter une adresse s'affiche.
3. Sélectionnez Ajouter autre.
   La boîte de dialogue Ajouter un membre s'affiche. Le Type est réglé sur IP d'hôte par défaut.
4. Dans la zone de texte Valeur, saisissez l'adresse IP Eth0 du périphérique WatchGuard SSL.
   Dans cet exemple, saisissez 10.0.2.60.

1. Cliquez sur OK.
   L'adresse IP de l'hôte s'affiche dans la boîte de dialogue Ajouter une adresse dans la liste Membres et adresses sélectionnés.
2. Cliquez sur OK.
   L'adresse IP de l'Hôte s'affiche dans la boîte de dialogue Propriétés de la nouvelle stratégie dans la liste Vers.
3. Cliquez sur OK.
   La nouvelle stratégie s'affiche dans Policy Manager.
4. Dans la boîte de dialogue Ajouter des Stratégies, cliquez sur Fermer.
5. Enregistrez la configuration sur le Firebox.

Votre périphérique Firebox est maintenant configuré pour permettre :

- Aux utilisateurs de se connecter au Portail d'Application SSL sur https://203.0.113.1
- À l'administrateur de se connecter à WatchGuard SSL Web UI depuis n'importe quel ordinateur sur le réseau approuvé à l'adresse suivante : https://10.0.2.60:8443
- l'accès à toutes les ressources partagées dans le portail d'application.

## Exemple nº2 — Le Périphérique WatchGuard SSL A une Adresse IP Publique

Dans cet exemple, le périphérique WatchGuard SSL est connecté au réseau facultatif de votre périphérique Firebox. Le périphérique WatchGuard SSL a une adresse IP publique.

Paramètres WatchGuard Firebox :

- Adresse IP publique — 203.0.113.1/24
- Adresse IP du réseau approuvé — 10.50.1.1/24
- Adresse IP de réseau facultatif - 10.50.2.1/24

Les paramètres du périphérique WatchGuard SSL 100 :

- Mode interface réseau — Mode interface unique
- Port de portail d'application — 443
- Port HTTPS administrateur — 8443
- Adresse IP Eth0 — 10.50.2.60/24
- Passerelle par défaut — 10.50.2.1/24 (l'adresse IP du réseau Facultatif du périphérique Firebox)

Ressources SSL partagées situées sur un réseau différent :

Serveur HTTP (intranet) — Situé sur le réseau approuvé du périphérique Firebox à l'adresse 10.0.1.80

### Ajouter une Stratégie HTTPS de Manière à Autoriser les Connexions Entrantes

Pour configurer le Firebox afin d'autoriser les connexions vers le périphérique SSL WatchGuard, vous devez ajouter une stratégie de filtrage de paquets HTTPS autorisant les connexions provenant du réseau externe vers l'adresse Eth0 du périphérique SSL.

1. Ouvrez Policy Manager pour le Firebox qui protège votre périphérique SSL.
2. Cliquez sur .
   Sinon, sélectionnez Modifier > Ajouter des Stratégies.
   La boîte de dialogue Ajouter des stratégies s'ouvre.
3. Ouvrez le dossier Filtres de Paquets et sélectionnez HTTPS. Cliquez sur Ajouter.
   La boîte de dialogue Propriétés de la nouvelle stratégie apparaît.

1. (Facultatif) Pour changer le nom de la stratégie, saisissez un nouveau nom dans la zone de texte Nom.
   Pour cet exemple, tapez HTTPS-SSLVPN.
2. Dans la liste De, sélectionnez Tout-Approuvé. Cliquez sur Supprimer.
3. Dans la section De, cliquez sur Ajouter et ajoutez l'adresse de cette stratégie.
   La boîte de dialogue Ajouter une adresse s'affiche.
4. Dans la liste Membres Disponibles, sélectionnez Tout-Externe. Cliquez sur Ajouter.
   Tout-Externe s'affiche dans la liste Membres et adresses sélectionnés.
5. Cliquez sur OK.
   Tout-Externe s'affiche dans la liste De dans la boîte de dialogue Propriétés de la nouvelle stratégie.
6. Dans la liste Vers, sélectionnez Tout-Externe. Cliquez sur Supprimer.
7. Dans la section Vers, cliquez sur Ajouter.
   La boîte de dialogue Ajouter une adresse s'affiche.
8. Cliquez sur Ajouter autre.
   La boîte de dialogue Ajouter un membre s'affiche. Le Type est réglé sur IP d'hôte par défaut.
9. Dans la zone de texte Valeur, saisissez l'adresse Eth0 du périphérique SSL Firebox.
   Dans cet exemple, saisissez 203.0.113.1.

1. Cliquez sur OK.
   L'adresse IP que vous avez ajoutée s'affiche dans la boîte de dialogue Ajouter une adresse, dans la liste Membres et adresses sélectionnés.
2. Cliquez sur OK.
   L'adresse IP de l'hôte que vous avez ajoutée s'affiche dans la boîte de dialogue Propriétés de la nouvelle stratégie, dans la liste Vers.

1. Cliquez sur OK.
   La stratégie HTTPS-SSLVPN s'affiche dans Policy Manager.
2. Dans la boîte de dialogue Ajouter des Stratégies, cliquez sur Fermer.

### Ajouter une stratégie pour l'accès à une ressource partagée

Pour toute ressource partagée n'appartenant pas au réseau interne du périphérique SSL WatchGuard, vous devez ajouter une stratégie sur le Firebox de manière à autoriser le trafic entre le périphérique SSL WatchGuard et ces ressources. Le type de stratégie à ajouter dépend du type de ressource. Dans cet exemple, le périphérique WatchGuard SSL est sur le réseau facultatif 10.0.2.1, mais la ressource partagée par serveur HTTP est située sur le réseau approuvé 10.0.1.0, vous devez donc utiliser Policy Manager pour ajouter une stratégie HTTP.

1. Cliquez sur .
   Sinon, sélectionnez Modifier > Ajouter une Stratégie.
   La boîte de dialogue Ajouter des stratégies s'ouvre.
2. Ouvrez le dossier Filtres de paquets et sélectionnez HTTP. Cliquez sur Ajouter.
   La boîte de dialogue Propriétés de la nouvelle stratégie apparaît.

1. (Facultatif) Pour changer le nom de la stratégie, saisissez un nouveau nom dans la zone de texte Nom.
   Dans cet exemple, tapez HTTPS-SSLVPN-Ressource.
2. Dans la liste De, sélectionnez Tout-Approuvé. Cliquez sur Supprimer.
3. Dans la section De, cliquez sur Ajouter.
   La boîte de dialogue Ajouter une adresse s'affiche.
4. Cliquez sur Ajouter autre.
   La boîte de dialogue Ajouter un membre s'affiche. Le Type est réglé sur IP d'hôte par défaut.
5. Dans la zone de texte Valeur, saisissez l'adresse IP Eth0 du périphérique WatchGuard SSL.
   Dans cet exemple, saisissez 203.0.113.1.

1. Cliquez sur OK.
   L'adresse IP de l'hôte s'affiche dans la boîte de dialogue Ajouter une adresse dans la liste Membres et adresses sélectionnés.
2. Cliquez sur OK.
   L'adresse IP de l'hôte s'affiche dans la boîte de dialogue Propriétés de la nouvelle stratégie, dans la liste De.
3. Dans la liste Vers, sélectionnez Tout-Externe. Cliquez sur Supprimer.
4. Dans la section Vers, cliquez sur Ajouter.
   La boîte de dialogue Ajouter une adresse s'affiche.
5. Cliquez sur Ajouter autre.
   La boîte de dialogue Ajouter un membre s'affiche. Le Type est réglé sur IP d'hôte par défaut.

1. Dans la zone de texte Valeur, saisissez l'adresse IP de la ressource serveur HTTP interne située sur le réseau approuvé.
   Dans cet exemple, saisissez 10.0.1.80.
2. Cliquez sur OK.
   L'adresse IP de l'hôte s'affiche dans la boîte de dialogue Ajouter une adresse, dans la liste Membres et adresses sélectionnés.
3. Cliquez sur OK.
   L'adresse IP de l'hôte s'affiche dans la boîte de dialogue Propriétés de la nouvelle stratégie, dans la liste Vers.

1. Cliquez sur OK.
   La nouvelle stratégie s'affiche dans Policy Manager.
2. Dans la boîte de dialogue Ajouter des Stratégies, cliquez sur Fermer.
3. Enregistrez la configuration sur le Firebox.

Le Firebox est à présent configuré pour autoriser le périphérique WatchGuard SSL à communiquer avec la ressource sur l'autre réseau interne. Pour activer l'accès aux ressources partagées d'un autre réseau, vous devez créer une stratégie de pare-feu pour autoriser l'accès à chacune de ces ressources.

### Ajouter une Stratégie Personnalisée pour la Gestion de Périphérique SSL

Si vous souhaitez gérer votre périphérique SSL WatchGuard depuis un ordinateur appartenant à un autre réseau interne, vous devez paramétrer une stratégie personnalisée de manière à autoriser les connexions sur le port 8443. Par exemple, si vous souhaitez utiliser un ordinateur sur le réseau approuvé pour gérer le périphérique SSL, vous pouvez utiliser Policy Manager pour ajouter une stratégie personnalisée.

1. Cliquez sur .
   Sinon, sélectionnez Modifier > Ajouter une Stratégie.
   La boîte de dialogue Ajouter des stratégies s'ouvre.
2. Cliquez sur Nouveau.
   La boîte de dialogue Nouveau modèle de stratégie s'affiche.

1. Dans la zone de texte Nom, saisissez un nom pour ce modèle de stratégie.
   Dans cet exemple, tapez SSLVPN-Management.
2. Dans la zone de texte Description, entrez une description permettant d'identifier la stratégie (facultatif).
3. Dans la section Type, sélectionnez Filtre de Paquets pour le type de stratégie.
4. Cliquez sur Ajouter.
   La boîte de dialogue Ajouter un protocole s'affiche.
5. Dans la liste déroulante Type, sélectionnez Port Unique.
6. Dans la liste déroulante Protocoles, sélectionnez TCP.
7. Dans la zone de texte Port du Serveur, entrez ou sélectionnez 8443.

1. Cliquez sur OK.
   La boîte de dialogue Nouveau modèle de stratégie s'affiche ; le nouveau protocole se trouve dans la liste.

1. Cliquez sur OK.
   La boîte de dialogue Ajouter des stratégies s'affiche, avec le nouveau modèle de stratégie que vous venez de sélectionner.
2. Cliquez sur Ajouter.
   La boîte de dialogue Propriété de la nouvelle stratégie s'affiche pour le modèle que vous venez de créer.
3. Dans la liste Vers, sélectionnez Tout-Externe. Cliquez sur Supprimer.
4. Dans la section Vers, cliquez sur Ajouter.
   La boîte de dialogue Ajouter une adresse s'affiche.
5. Sélectionnez Ajouter autre.
   La boîte de dialogue Ajouter un membre s'affiche. Le Type est réglé sur IP d'hôte par défaut.
6. Dans la zone de texte Valeur, saisissez l'adresse IP Eth0 du périphérique WatchGuard SSL.
   Dans cet exemple, saisissez 203.0.113.1.

1. Cliquez sur OK.
   L'adresse IP de l'hôte s'affiche dans la boîte de dialogue Ajouter une adresse, dans la liste Membres et adresses sélectionnés.
2. Cliquez sur OK.
   L'adresse IP de l'hôte s'affiche dans la boîte de dialogue Propriétés de la nouvelle stratégie, dans la liste Vers.

1. Cliquez sur OK.
   La nouvelle stratégie s'affiche dans Policy Manager.
2. Dans la boîte de dialogue Ajouter des Stratégies, cliquez sur Fermer.
3. Enregistrez la configuration sur le Firebox.

Votre périphérique Firebox est désormais configuré pour permettre :

- Aux utilisateurs de se connecter au Portail d'application WatchGuard SSL ici à l'adresse https://203.0.113.1.
- À l'administrateur de se connecter à l'interface Web UI de WatchGuard SSL à partir de n'importe quel ordinateur sur le réseau approuvé à l'adresse suivante : https://203.0.113.1:8443.
- l'accès à toutes les ressources partagées dans le portail d'application.

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique