Rubriques Connexes

# Configurer un Réseau Privé VPN entre deux Périphériques Fireware v11.x (WSM)

Un tunnel de Branch Office Virtual Private Network (BOVPN) est un moyen sécurisé d'échanger des données via Internet entre des réseaux ou entre un hôte et un réseau. Ce document vous explique comment utiliser Policy Manager pour définir un tunnel manuel BOVPN entre deux Firebox qui utilisent Fireware v11.x.

Pour voir le même exemple configuré dans Fireware Web UI, consultez Configurer un Réseau Privé VPN entre deux Périphériques Fireware v11.x (Web UI).

Cette rubrique ne donne aucune information détaillée sur les différents paramètres des boîtes de dialogue du réseau BOVPN ni sur la manière dont ils affectent un tunnel existant. Si vous voulez en savoir plus sur un paramètre précis, voir :

- À propos des Tunnels Branch Office VPN Manuels
- Configurer des Passerelles BOVPN Manuelles
- Configurer des Tunnels BOVPN Manuels

## Collecter les Paramètres d'Adresse IP et de Tunnel

Pour créer un tunnel BOVPN manuel, vous devez d'abord collecter les adresses IP et définir les paramètres des points de terminaison. Il peut être utile d'imprimer ce document, de noter ou d'indiquer les valeurs à utiliser, afin de vous y référer au moment de la configuration des paramètres dans Policy Manager.

Dans cette rubrique, les deux points de terminaison doivent avoir une adresse IP externe statique.

Pour plus d'informations sur les tunnels BOVPN vers des périphériques ayant une adresse IP externe dynamique, consultez Définir des extrémités de passerelle pour une passerelle BOVPN.

Si vous administrez un des deux périphériques seulement, vous pouvez donner le tableau à l'autre administrateur pour vous assurer qu'il ou elle utilise exactement les mêmes valeurs pour les paramètres de phase 1 et de phase 2.

Assurez-vous de configurer correctement les points de terminaison du réseau VPN et de définir des paramètres de phases 1 et 2 identiques sur les deux périphériques. Les tunnels ne fonctionnent pas si les paramètres ne correspondent pas.

Si un paramètre ne figure pas dans cette liste, ne modifiez pas la valeur par défaut.

### Paramètres du tunnel BOVPN

SITE A (Firebox avec Fireware Fireware v11.x)

Adresse IP publique : ______________________________

Adresse IP privée : _____________________________

SITE B (Firebox avec Fireware Fireware v11.x)

Adresse IP publique : ______________________________

Adresse IP privée : _____________________________

### Paramètres de PHASE 1 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Pour un tunnel BOVPN entre deux Firebox utilisant Fireware, nous vous recommandons de sélectionner Détection DPD (Dead Peer Detection) (RFC3706) plutôt que Conservation d'activité IKE. Mais ne les sélectionnez pas toutes les deux. Vous devriez toujours sélectionner Détection DPD (Dead Peer Detection) si les deux périphériques de terminaison la prennent en charge.

Dans la section Méthode d'informations d'identification, sélectionnez Utiliser la clé pré-partagée.

Clé pré-partagée : ______________________________

Version IKE : IKEv1 ____ IKEv2 ____ (nécessite Fireware v11.11.2 ou une version ultérieure)

Mode (choisissez une seule option) : Principal____ Agressif ____

Parcours NAT : Oui ____ Non ____

Intervalle de conservation d'activité du Parcours NAT : ________________

Conservation d'activité IKE : Oui ____ Non ____

Intervalle entre les messages de conservation d'activité IKE : ________________

Nombre d'échecs max de la conservation d'activité IKE : ________________

Détection DPD (Dead Peer Detection) (RFC3706) : Oui ____ Non ____

Délai d'inactivité du trafic de la détection DPD (Dead Peer Detection) : ________________

Nombre maximal de tentatives de détection DPD (Dead Peer Detection) : ________________

Algorithme d'authentification (choisissez une seule option) : MD5___SHA1____ SHA2-256____SHA2-384____SHA2-512_____ (WatchGuard recommande SHA-1 ou SHA-2)

Algorithme de chiffrement (choisissez une seule option) : DES____ 3DES____ AES-128____ AES-192____ AES-256____ (WatchGuard recommande AES-128, AES-192, ou AES-256)

Durée de vie de la SA ________________

Sélectionnez Heures comme unité de SA Life.

Groupe Diffie-Hellman (choisissez une seule option) : 1____ 2____ 5____14____15____19____20____

### Paramètres de PHASE 2 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Perfect Forward Secrecy (Groupe Diffie-Hellman) : Désactiver____ Groupe1____ Groupe2____ Groupe5____ Groupe14____ Groupe15____ Groupe19____ Groupe20____

Algorithme d'authentification (choisissez une seule option) : MD5____ SHA1____ (WatchGuard recommande SHA-1)

Algorithme de chiffrement (choisissez une seule option) : DES____ 3DES____AES____ (WatchGuard recommande AES. Le niveau de chiffrement pour ce paramètre AES est 256 bit.)

Forcer l'Expiration de la Clé pour la Durée (Heures): ________________

Forcer l'Expiration de la Clé pour le Trafic (kilo-octets) : ________________

## Exemple de paramètres de tunnel

Cette section contient les mêmes champs que la précédente, avec des exemples de paramètres. Ces derniers correspondent aux paramètres qui figurent dans les images de cet exemple.

SITE A (Firebox avec Fireware v11.x)

Adresse IP Publique : 203.0.113.2

Adresse IP du réseau privé : 10.0.1.0/24

SITE B (Firebox avec Fireware v11.x)

Adresse IP publique : 198.51.100.2

Adresse IP du réseau privé : 10.50.1.0/24

Paramètres de PHASE 1 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Méthode d'informations d'identification : sélectionnez Utiliser la clé pré-partagée.

Clé pré-partagée : SiteA2SiteB

Version : IKEv1

Mode : Principal

Parcours NAT : Activer

Intervalle de conservation d'activité du Parcours NAT : 20 secondes

Conservation d'activité IKE : Désactiver

Intervalle entre les messages de conservation d'activité IKE : aucun

Nombre d'échecs max de la conservation d'activité IKE : aucun

Détection DPD (Dead Peer Detection) (RFC3706) : Activer

Délai d'inactivité du trafic de la détection DPD (Dead Peer Detection) : 20 secondes

Nombre Maximal de tentatives de détection DPD (Dead Peer Detection) : 5

Algorithmes d'authentification : SHA1

Algorithme de chiffrement : AES (128-bit)

Durée de vie de la SA : 8 heures

Groupe Diffie-Hellman 2

Paramètres de PHASE 2 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Confidentialité PFS (Groupe Diffie-Hellman) : Désactiver

Type : ESP

Algorithmes d'authentification : SHA1

Algorithme de chiffrement : AES (Le niveau de chiffrement pour ce paramètre AES est 256 bit.)

Si vous utilisez WSM v11.x, les paramètres d'exemple de phases 1 et 2 correspondent aux paramètres par défaut. Ils correspondent également aux paramètres par défaut de WSM v10.2.2 et ultérieure, et Edge v10.2.2 et ultérieure.

## Configurer le site A, Fireware v11.x

Utilisez à présent Policy Manager pour configurer la passerelle du site A, sur un périphérique Firebox équipé de Fireware XTM v11.x. Une passerelle est un point de connexion d'un ou plusieurs tunnels. Pour configurer une passerelle, vous devez spécifier :

- La méthode d'informations d'identification (clés pré-partagées ou Firebox Certificate IPSec).
- L'emplacement des points de terminaison de passerelle locaux et distants, soit par l'adresse IP, soit par les informations de domaine.
- Les paramètres de phase 1 de la négociation IKE (Internet Key Exchange).

### Ajouter une passerelle VPN

1. Sélectionnez VPN > Passerelles Branch Office.
   La boîte de dialogue Passerelles s'affiche.
2. Cliquez sur Ajouter.
   La boîte de dialogue Nouvelle passerelle s'affiche.

1. Dans la zone de texte Nom de la passerelle, entrez un nom permettant d'identifier la passerelle dans Policy Manager.
2. Dans la section Méthode d'informations d'identification, sélectionnez Utiliser la clé pré-partagée. Entrez la clé partagée.
   Cette clé partagée doit uniquement contenir des caractères ASCII standards.
3. Dans la section Points de terminaison de passerelle, cliquez sur Ajouter.
   La boîte de dialogue Paramètres des points de terminaison de la nouvelle passerelle apparaît.

1. Dans la liste déroulante Interface externe, sélectionnez l'interface ayant l'IP externe (publique) du Firebox du site A.
2. Dans la section Passerelle locale, sélectionnez Par Adresse IP.
3. Sélectionnez l'adresse IP externe (publique) du Firebox du site A dans la liste déroulante Adresse IP. Les adresses IP de toutes les interfaces configurées apparaissent dans la liste.
4. Dans la section Passerelle distante, dans Spécifier l'adresse IP de la passerelle distante pour un tunnel, sélectionnez Adresse IP statique.
5. Dans la zone de texte Adresse IP, entrez l'adresse IP externe (publique) du Firebox du site B.
6. Pour spécifier l'ID de passerelle, sélectionnez Par Adresse IP.
7. Comme adresse IP, entrez l'IP externe (publique) du Firebox du site B.
8. Cliquez sur OK pour fermer la boîte de dialogue Paramètres de points de terminaison de la nouvelle passerelle.
   La paire de passerelles que vous avez définie apparaît dans la liste des points de terminaison de passerelle.

### Configurer les paramètres de phase 1

La phase 1 de l'établissement d'une connexion IPSec désigne le stade où deux pairs créent un canal sécurisé et authentifié pour communiquer. Il s'agit de l'association de sécurité (SA) ISAKMP.

1. Sélectionnez l'onglet Paramètres de phase 1.

1. Dans la liste déroulante Mode, sélectionnez Principal.
   L'exemple utilise le mode Principal, car les deux points de terminaison ont une adresse IP statique. Si l'un des points de terminaison a une adresse IP dynamique, vous devez utiliser le mode Agressif.
2. Sélectionnez Parcours NAT et Détection DPD (Dead Peer Detection) (RFC3706). Ce sont les paramètres recommandés pour un tunnel BOVPN entre deux Firebox.
3. Dans la section Paramètres de transformation, sélectionnez la transformation par défaut et cliquez sur Modifier.

1. Dans les listes déroulantes Authentification et Chiffrement, sélectionnez votre algorithme préféré. Dans notre exemple, nous sélectionnons SHA-1 et AES (128 bit).
2. Dans la zone de texe Durée de Vie de la SA, saisissez 8 et sélectionnez Heures.
3. Dans la liste déroulante Groupe de clés, sélectionnez un groupe Diffie-Hellman. Dans notre exemple, nous sélectionnons Diffie-Hellman Groupe 2.
4. Cliquez sur OK. Ne touchez pas aux valeurs par défaut des autres paramètres de phase 1.
5. Cliquez sur OK pour fermer la boîte de dialogue Nouvelle passerelle.
   La passerelle ajoutée apparaît dans la liste Passerelles.

1. Cliquez sur Fermer pour fermer la boîte de dialogue Passerelles.

### Ajouter un tunnel VPN

Après avoir défini des passerelles, vous pouvez créer des tunnels entre elles. Le processus d'établissement d'un tunnel inclut les étapes suivantes :

- Spécifier les routes (points de terminaison local et distant du tunnel)
- Configurer les paramètres de phase 2 de la négociation IKE (Internet Key Exchange)

Dans Policy Manager :

1. Sélectionnez VPN > Tunnels Branch Office.
   La boîte de dialogue Tunnels IPSec Branch Office s'affiche.
2. Cliquez sur Ajouter.
   La boîte de dialogue Nouveau tunnel s'affiche.

1. Dans la zone de texte Nom de tunnel, entrez le nom du tunnel.
2. Dans la liste déroulante Passerelle, sélectionnez la passerelle que vous venez de créer.
3. Cochez la case Ajouter ce tunnel aux stratégies d'autorisation BOVPN-Allow en bas de la boîte de dialogue si vous souhaite ajouter le tunnel aux stratégies BOVPN-Allow.in et BOVPN-Allow.out Ces stratégies autorisent tout le trafic correspondant aux routes du tunnel. Si vous souhaitez restreindre le trafic dans le tunnel, désactivez cette case à cocher et utilisez l'Assistant BOVPN Policy Wizard afin de créer des stratégies pour les types de trafic que vous voulez autoriser à passer par le tunnel. Pour plus d'informations, voir Définir des Stratégies de Tunnel Personnalisées.
4. Dans la section Adresses, cliquez sur Ajouter.
   La boîte de dialogue Paramètres de route de tunnel s'affiche.

1. Saisissez l'adresse réseau (privée) locale du site A dans la zone de texte Local. Vous pouvez également cliquer sur le bouton en regard de la liste déroulante Local pour entrer une adresse IP d'hôte, une adresse réseau, une plage d'adresses IP d'hôte ou un nom DNS. Ce sont les périphériques situés derrière le Firebox local qui pourront communiquer par le tunnel.
2. Dans la zone Distant, tapez l'adresse du réseau (privé) distant. Il s'agit de l'adresse IP du réseau privé du site B. Vous pouvez également cliquer sur le bouton adjacent pour entrer une adresse IP d'hôte, une adresse réseau, une plage d'adresses IP d'hôte ou un nom DNS. Ce sont les périphériques situés derrière le Firebox distant qui pourront communiquer par le tunnel.
3. Dans la liste déroulante Direction, cliquez sur le sens du tunnel. Le sens du tunnel détermine quel point de terminaison du tunnel VPN peut démarrer une connexion VPN à travers le tunnel.
4. Cliquez sur OK.
   La route du tunnel apparaît dans l'onglet Adresses de la boîte de dialogue Nouveau tunnel.

### Configurer les paramètres de phase 2

Les paramètres de phase 2 comprennent les paramètres d'une association de sécurité (AS) qui définit la manière dont les paquets de données sont sécurisés lorsqu'ils sont transmis entre deux points de terminaison. L'association de sécurité conserve toutes les informations nécessaires pour que Firebox sache comment traiter le trafic entre les points de terminaison.

1. Dans la boîte de dialogue Nouveau tunnel, sélectionnez l'onglet Paramètres de Phase 2.

1. Activez la case à cocher PFS pour activer le Perfect Forward Secrecy (PFS).
2. Dans la liste déroulante, sélectionnez un groupe Diffie-Hellman. Dans notre exemple, nous sélectionnons Diffie-Helman Groupe 2.
3. Le Firebox contient une proposition par défaut qui figure dans la liste Propositions IPSec. Cette proposition associe la méthode de protection des données ESP, le chiffrement AES et l'authentification SHA1. Dans cet exemple, nous utilisons la proposition par défaut. Vous pouvez :
   - Utilisez la proposition par défaut.
   - Supprimer la proposition par défaut. Ensuite, sélectionnez une autre proposition dans la liste déroulante et cliquez sur Ajouter.
   - Ajoutez une proposition supplémentaire, comme indiqué dans Ajouter une proposition de phase 2.
4. Cliquez sur OK pour revenir à la boîte de dialogue Tunnel Branch Office IPSec.
   Le tunnel ajouté apparaît dans la liste des Tunnels Branch Office IPSec.

1. Cliquez sur Fermer et enregistrez les modifications dans Firebox.

Le Firebox du site A est à présent configuré.

## Configurer le site B, Fireware v11.x

Vous utilisez à présent Policy Manager pour configurer la passerelle du site B, sur un Firebox équipé de Fireware 11.x.

### Ajouter une passerelle VPN

1. Sélectionnez VPN > Passerelles Branch Office.
   La boîte de dialogue Passerelles s'affiche.
2. Cliquez sur Ajouter.
   La boîte de dialogue Nouvelle passerelle s'affiche.
3. Dans la zone de texte Nom de la passerelle, entrez un nom permettant d'identifier la passerelle dans Policy Manager.
4. Cliquez sur l'onglet Paramètres généraux.
5. Dans la section Méthode d'informations d'identification, sélectionnez Utiliser la clé pré-partagée. Entrez la clé partagée.
   Cette clé partagée doit uniquement contenir des caractères ASCII standard.
6. Dans la section Points de terminaison de passerelle, cliquez sur Ajouter.
   La boîte de dialogue Paramètres des points de terminaison de la nouvelle passerelle apparaît.

1. Dans la liste déroulante Interface Externe, sélectionnez l'interface ayant l'adresse IP externe (publique) du Firebox du site B.
2. Sélectionnez Par adresse IP.
3. Sélectionnez l'adresse IP externe (publique) du Firebox du site B dans la liste déroulante Adresse IP. Les adresses IP de toutes les interfaces configurées apparaissent dans la liste.
4. Pour spécifier l'ID de passerelle, sélectionnez Adresse IP Statique. Entrez l'adresse IP externe (publique) du Firebox du site A.
5. Pour spécifier l'ID de passerelle, sélectionnez Par Adresse IP. Entrez l'adresse IP externe (publique) du Firebox du site A.
6. Cliquez sur OK pour fermer la boîte de dialogue Paramètres de points de terminaison de la nouvelle passerelle.
   La paire de passerelles que vous avez définie apparaît dans la liste des points de terminaison de passerelle.

### Configurer les paramètres de phase 1

La phase 1 de l'établissement d'une connexion IPSec désigne le stade où deux pairs créent un canal sécurisé et authentifié pour communiquer. Il s'agit de l'association de sécurité (SA) ISAKMP.

1. Sélectionnez l'onglet Paramètres de phase 1.

1. Dans la liste déroulante Mode, sélectionnez Principal.
   L'exemple utilise le mode Principal, car les deux points de terminaison ont une adresse IP statique. Si l'un des points de terminaison a une adresse IP dynamique, vous devez utiliser le mode Agressif.
2. Sélectionnez Parcours NAT et Détection DPD (Dead Peer Detection) (RFC3706). Ce sont les paramètres recommandés pour un tunnel BOVPN entre un Firebox qui utilise Fireware v11.x et un Firebox qui utilise Fireware v10.2.2 ou les versions ultérieures.
3. Dans la section Paramètres de transformation, sélectionnez la transformation par défaut et cliquez sur Modifier.

1. Dans les listes déroulantes Authentification et Chiffrement, sélectionnez vos algorithmes préférés. Dans notre exemple, nous sélectionnons SHA-1 et AES (128 bit).
2. Dans la zone de texte Durée de Vie de la SA, saisissez 8. Dans la liste déroulante, sélectionnez Heures.
3. Dans la liste déroulante Groupe de Clés, sélectionnez un groupe Diffie-Hellman. Dans notre exemple, nous sélectionnons Diffie-Hellman Groupe 2.
4. Cliquez sur OK. Ne touchez pas aux valeurs par défaut des autres paramètres de phase 1.
5. Cliquez sur OK. Conservez les valeurs par défaut des autres paramètres de phase 1.
6. Cliquez sur Fermer pour fermer la boîte de dialogue Passerelles.
   La passerelle ajoutée apparaît dans la liste Passerelles de la page Branch Office VPN.

### Ajouter un tunnel VPN

Après avoir défini des passerelles, vous pouvez créer des tunnels entre elles. Lorsque vous créez un tunnel, vous devez spécifier :

- Routes (points de terminaison local et distant du tunnel)
- Paramètres de phase 2 de la négociation IKE (Internet Key Exchange).

Pour ajouter un tunnel VPN :

1. Sélectionnez VPN > Tunnels Branch Office.
   La boîte de dialogue Tunnels IPSec Branch Office s'affiche.
2. Cliquez sur Ajouter.
   La boîte de dialogue Nouveau tunnel s'affiche.
3. Dans la zone de texte Nom de tunnel, entrez le nom du tunnel.
4. Dans la liste déroulante Passerelle, sélectionnez la passerelle que vous avez créée.
5. Pour ajouter le tunnel aux stratégies BOVPN-Allow.in et BOVPN-Allow.out, activez la case à cocher Ajouter ce tunnel aux stratégies d'autorisation BOVPN-Allow. Ces stratégies autorisent tout le trafic correspondant aux routes du tunnel. Si vous souhaitez restreindre le trafic dans le tunnel, désactivez cette case à cocher et utilisez l'Assistant BOVPN Policy Wizard afin de créer des stratégies pour les types de trafic que vous voulez autoriser à passer par le tunnel.
6. Dans la section Adresses, cliquez sur Ajouter.
   La boîte de dialogue Paramètres de route de tunnel s'affiche.

1. Saisissez l'adresse réseau (privée) locale du site B dans la zone de texte Local. Vous pouvez également cliquer sur le bouton en regard de la liste déroulante Local pour entrer une adresse IP d'hôte, une adresse réseau, une plage d'adresses IP d'hôte ou un nom DNS. Ce sont les périphériques situés derrière le Firebox local qui pourront communiquer par le tunnel.
2. Dans la zone Distant, tapez l'adresse du réseau privé distant. Il s'agit de l'adresse IP du réseau privé du site B. Vous pouvez également cliquer sur le bouton adjacent pour entrer une adresse IP d'hôte, une adresse réseau, une plage d'adresses IP d'hôte ou un nom DNS. Ce sont les périphériques situés derrière le Firebox distant qui pourront communiquer par le tunnel.
3. Dans la liste déroulante Direction, cliquez sur le sens du tunnel. Le sens du tunnel détermine quel point de terminaison du tunnel VPN peut démarrer une connexion à travers le tunnel BOVPN.
4. Cliquez sur OK.
   La route du tunnel apparaît dans l'onglet Adresses de la boîte de dialogue Nouveau tunnel.

### Configurer les paramètres de phase 2

Les paramètres de phase 2 comprennent les paramètres d'une association de sécurité (AS) qui définit la manière dont les paquets de données sont sécurisés lorsqu'ils sont transmis entre deux points de terminaison. L'association de sécurité conserve toutes les informations nécessaires pour que Firebox sache comment traiter le trafic entre les points de terminaison.

1. Dans la boîte de dialogue Nouveau tunnel, cliquez sur l'onglet Paramètres de Phase 2.

1. Activez la case à cocher PFS pour activer le Perfect Forward Secrecy (PFS).
2. Si vous activez PFS, dans la liste déroulante Activer Perfect Forward Secrecy, sélectionnez un Groupe Diffie-Hellman. Dans notre exemple, nous sélectionnons Diffie-Hellman Groupe 2.
3. Le Firebox contient une proposition par défaut qui figure dans la liste Propositions IPSec. Cette proposition associe la méthode de protection des données ESP, le chiffrement AES et l'authentification SHA1. Dans cet exemple, nous utilisons la proposition par défaut. Vous pouvez :
   - Utilisez la proposition par défaut.
   - Supprimer la proposition par défaut. Ensuite, sélectionnez une autre proposition dans la liste déroulante et cliquez sur Ajouter.
   - Ajoutez une proposition supplémentaire, comme indiqué dans Ajouter une proposition de phase 2.
4. Cliquez sur OK pour revenir à la boîte de dialogue Tunnel Branch Office IPSec.
   Le tunnel ajouté apparaît dans la liste des Tunnels Branch Office IPSec.

1. Cliquez sur Fermer et enregistrez les modifications dans votre Firebox.

Le Firebox du site B est à présent configuré.

Une fois les deux extrémités du tunnel configurées, le tunnel s'ouvre et le trafic transite par le tunnel. Si le tunnel ne fonctionne pas, examinez les fichiers journaux des deux Firebox de la période à laquelle vous avez essayé de démarrer le tunnel. Des messages de journal apparaissent dans le fichier journal pour indiquer où l'échec se situe dans la configuration et les paramètres qui peuvent contribuer au problème. Vous pouvez également consulter les messages de journaux en temps réel dans Firebox System Manager.

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique