Rubriques Connexes

# Configurer un VPN de Fireware vers Edge 10.x (WSM)

Un tunnel de Branch Office Virtual Private Network (BOVPN) est un moyen sécurisé d'échanger des données via Internet entre des réseaux ou entre un hôte et un réseau. Ce document vous explique comment définir un tunnel BOVPN manuel dans Policy Manager v11.x et Edge Web UI v10.x.

Pour voir le même exemple configuré dans Fireware Web UI, consultez Configurer un VPN de Fireware v11.x vers Edge 10.x (Web UI).

Il ne donne aucune information détaillée sur la signification des différents paramètres des boîtes de dialogue du réseau BOVPN ni sur l'incidence qu'ils peuvent avoir une fois le tunnel établi. Si vous voulez en savoir plus sur un paramètre précis, servez-vous des ressources suivantes :

- À propos des Tunnels Branch Office VPN Manuels
- Configurer des Passerelles BOVPN Manuelles
- Configurer des Tunnels BOVPN Manuels

## Collecter les paramètres d'adresse IP et de tunnel

Pour créer un tunnel BOVPN manuel, la première chose à faire consiste à collecter les adresses IP et à décider des paramètres qu'utiliseront les points de terminaison. Il peut être utile d'imprimer ce document, de noter ou d'indiquer les valeurs à utiliser, afin de vous y référer au moment de configurer les paramètres dans les pages d'administration de Policy Manager et du périphérique Edge 10.x.

Dans ce document, les deux points de terminaison doivent avoir une adresse IP externe statique. Pour plus d'informations sur les BOVPN reliés à des périphériques ayant une adresse IP externe dynamique, consultez Définir des extrémités de passerelle pour une passerelle BOVPN.

Si vous administrez un des deux périphériques seulement, vous pouvez donner le tableau à l'autre administrateur pour vous assurer qu'il ou elle entre exactement les mêmes valeurs pour les paramètres de phase 1 et de phase 2.

Assurez-vous de configurer correctement les points de terminaison du réseau VPN et de définir des paramètres de phases 1 et 2 identiques sur les deux périphériques. Les tunnels ne pourront pas s'établir si les paramètres ne correspondent pas.

Si un paramètre ne figure pas dans cette liste, ne modifiez pas la valeur par défaut.

### Paramètres du tunnel BOVPN

SITE A (périphérique XTM avec Fireware v11.x)

Adresse IP publique : ______________________________

Adresse IP privée : _____________________________

SITE B (Firebox X Edge avec Edge 10.x)

Adresse IP publique : ______________________________

Adresse IP privée : _____________________________

### Paramètres de PHASE 1 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Sélectionnez Conservation d'activité IKE ou Détection DPD (Dead Peer Detection). Mais ne les sélectionnez pas toutes les deux. Sélectionnez Détection DPD (Dead Peer Detection) si les deux périphériques de terminaison la prennent en charge. Sélectionnez Conservation d'activité IKE si les deux points de terminaison sont des périphériques XTM ou Firebox, mais que l'un d'entre eux ne reconnaît pas la détection DPD (Dead Peer Detection). La conservation d'activité IKE est utilisée uniquement par les périphériques XTM ou Firebox. Ne sélectionnez pas la conservation d'activité IKE si l'un des points de terminaison provient d'un autre fabricant.

Méthode d'informations d'identification : Sélectionnez Utiliser la clé pré-partagée.

Mode (choisissez une seule option) : Principal____ Agressif____

Clé pré-partagée : ______________________________

Parcours NAT : Oui ____ Non ____

Intervalle de conservation d'activité du Parcours NAT : ________________

Conservation d'activité IKE : Oui ____ Non ____

Intervalle entre les messages de conservation d'activité IKE : ________________

Nombre d'échecs max de la conservation d'activité IKE : ________________

Détection DPD (Dead Peer Detection) (RFC3706) : Oui ____ Non ____

Délai d'inactivité du trafic de la détection DPD (Dead Peer Detection) : ________________

Nombre maximal de tentatives de détection DPD (Dead Peer Detection) : ________________

Algorithme d'authentification (choisissez une seule option) : SHA1____ MD5____

Algorithme de chiffrement (choisissez une seule option) : DES____ 3DES____ AES-128____ AES-192____ AES-256____

SA Life ________________

Sélectionnez Heures comme unité de SA Life.

Groupe Diffie-Hellman (choisissez une seule option) : 1____ 2____ 5____

### Paramètres de PHASE 2 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Type : AH ____ ESP ____

Algorithme d'authentification (choisissez une seule option) : Aucun____ MD5____ SHA1____

Algorithme de chiffrement (choisissez une seule option) : DES____ 3DES____ AES-128____ AES-192____ AES-256____

Forcer l'expiration de la clé (choisissez une seule option) : Activer____ Désactiver____

Confidentialité PFS (Groupe Diffie-Hellman) : Désactiver____ Groupe1____ Groupe2____ Groupe5____

Expiration de la clé de Phase 2 (heures) ________________

Expiration de la clé de Phase 2 (kilo-octets) ________________

## Exemple de paramètres de tunnel

Cette page affiche les mêmes champs que la page précédente avec l'indication des paramètres d'exemple. Ces paramètres correspondent à ceux indiqués dans les captures d'écran utilisées tout au long de ce document.

SITE A (périphérique XTM avec Fireware XTM v11.x)

Adresse IP publique : 203.0.113.0

Adresse IP du réseau privé : 10.0.1.0/24

SITE B (Firebox X Edge avec Edge 10.x)

Adresse IP publique : 198.51.100.0

Adresse IP du réseau privé : 10.50.1.0/24

### Paramètres de PHASE 1 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Méthode d'informations d'identification : Sélectionnez Utiliser la clé pré-partagée.

Mode (choisissez une seule option) : Principal

Clé pré-partagée : SiteA_vers_SiteB

Parcours NAT : Oui (Y)

Intervalle d'activité du Parcours NAT : 20 secondes

Conservation d'activité IKE : Non (N)

Intervalle entre les messages de conservation d'activité IKE : Aucun(e)

Nombre d'échecs max de la conservation d'activité IKE : Aucun(e)

Détection DPD (Dead Peer Detection) (RFC3706) : Oui (Y)

Délai d'inactivité du trafic de la détection DPD (Dead Peer Detection) : 20 secondes

Nombre maximal de tentatives de détection DPD (Dead Peer Detection) : 5

Algorithme d'authentification (choisissez une seule option) : SHA-1

Algorithme de chiffrement (choisissez une seule option) : 3DES

SA Life : 8

Sélectionnez Heures comme unité de SA Life.

Groupe Diffie-Hellman (choisissez une seule option) : 2

### Paramètres de PHASE 2 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Type : ESP

Algorithme d'authentification (choisissez une seule option) : SHA-1

Algorithme de chiffrement (choisissez une seule option) : AES (256 bits)

Forcer l'expiration de la clé (choisissez une seule option) : Activer

Confidentialité PFS (Groupe Diffie-Hellman) : Désactiver

Expiration de la clé de phase 2 (heures) : 8

Expiration de la clé de phase 2 (kilo-octets) : 128 000

Si vous utilisez WSM v11.x et Edge 10.2.2 ou une version ultérieure, les paramètres d'exemple de Phases 1 et 2 correspondent aux paramètres par défaut. Ils correspondent également aux paramètres par défaut de WSM 10.2.2 et des versions ultérieures. Ils ne correspondent pas aux paramètres des versions antérieures des logiciels WSM ou Edge.

## Configurer le site A, Fireware v11.x

Pour ajouter une passerelle VPN à partir de Policy Manager :

1. Sélectionnez VPN > Passerelles Branch Office.
   La boîte de dialogue Passerelles s'affiche.
2. Cliquez sur Ajouter.
   La boîte de dialogue Nouvelle passerelle s'affiche.

1. Dans la zone de texte Nom de la passerelle, entrez un nom permettant d'identifier la passerelle dans Policy Manager.
2. Cliquez sur l'onglet Paramètres généraux.
3. Dans la section Méthode d'informations d'identification, sélectionnez Utiliser la clé pré-partagée. Entrez la clé partagée.
   Cette clé partagée doit uniquement contenir des caractères ASCII standards.
4. Dans la section Points de terminaison de passerelle, cliquez sur Ajouter.
   La boîte de dialogue Paramètres des extrémités de la nouvelle passerelle apparaît.

1. Dans la section Passerelle locale, sélectionnez Par Adresse IP.
2. Sélectionnez l'adresse IP externe (publique) du Firebox du site A dans la liste déroulante Adresse IP. Les adresses IP de toutes les interfaces configurées apparaissent dans la liste.
3. Dans la liste déroulante Interface externe, sélectionnez l'interface ayant l'IP externe (publique) du Firebox du site A.
4. Dans la section Passerelle distante, sélectionnez Adresse IP statique.
5. Entrez l'adresse IP externe (publique) du Firebox du site B.
6. Sélectionnez Par Adresse IP dans Spécifier l'ID de passerelle pour l'authentification du tunnel.
7. Comme adresse IP, entrez l'IP externe (publique) du Firebox du site B.
8. Cliquez sur OK pour fermer la boîte de dialogue Paramètres de points de terminaison de la nouvelle passerelle.
   La paire de passerelles que vous avez définie apparaît dans la liste des extrémités de passerelle.

### Configurer les paramètres de phase 1

La phase 1 d'une connexion IPSec désigne le stade où deux pairs créent un canal sécurisé et authentifié pour communiquer. Il s'agit de l'association de sécurité (SA) ISAKMP.

Dans Policy Manager :

1. Sélectionnez l'onglet Paramètres de phase 1.

1. Dans Mode, cliquez sur Principal ou Agressif, selon ce que vous avez sélectionné dans les Paramètres de tunnel BOVPN lors de la procédure précédente.
   L'exemple utilise le mode Principal, car les deux points de terminaison ont une adresse IP statique. Si l'un des points de terminaison a une adresse IP dynamique, vous devez utiliser le mode Agressif.
2. À l'aide des Paramètres du tunnel BOVPN, faites votre choix entre Parcours NAT, Conservation d'activité IKE et Détection DPD (Dead Peer Detection) (RFC3706). Pour un tunnel BOVPN entre un périphérique XTM et Edge 10.2.2 ou une version ultérieure, nous vous recommandons de sélectionner Parcours NAT et Détection DPD (Dead Peer Detection).
3. Dans la section Paramètres de transformation, sélectionnez la transformation par défaut et cliquez sur Modifier.

1. Dans les listes déroulantes Authentification et Chiffrement, sélectionnez les méthodes choisies dans les Paramètres du tunnel BOVPN.
2. Entrez le paramètre de SA Life retenu dans les Paramètres du tunnel BOVPN, et sélectionnez Heures dans la liste déroulante.
3. Dans la liste déroulante Groupe de clés, sélectionnez le groupe Diffie-Hellman souhaité.
4. Cliquez sur OK. Ne touchez pas aux valeurs par défaut des autres paramètres de phase 1.
5. Cliquez sur OK pour fermer la boîte de dialogue Nouvelle passerelle.
   La passerelle ajoutée apparaît dans la liste Passerelles.

1. Cliquez sur Fermer pour fermer la boîte de dialogue Passerelles.

### Ajouter un tunnel VPN

Après avoir défini des passerelles, vous pouvez créer des tunnels entre elles. Le processus d'établissement d'un tunnel inclut les étapes suivantes :

- Spécifier les routes (points de terminaison local et distant du tunnel)
- Configurer les paramètres de phase 2 de la négociation IKE (Internet Key Exchange).

Dans Policy Manager :

1. Sélectionnez VPN > Tunnels Branch Office.
   La boîte de dialogue Tunnels IPSec Branch Office s'affiche.
2. Cliquez sur Ajouter.
   La boîte de dialogue Nouveau tunnel s'affiche.

1. Dans la zone de texte Nom de tunnel, entrez le nom du tunnel.
2. Dans la liste déroulante Passerelle, sélectionnez la passerelle que vous venez de créer.
3. Dans l'onglet Adresses, cochez la case Ajouter ce tunnel aux stratégies BOVPN-Allow si vous souhaitez ajouter le tunnel aux stratégies BOVPN-Allow.in et BOVPN-Allow.out. Ces stratégies autorisent tout le trafic correspondant aux routes du tunnel. Si vous souhaitez restreindre le trafic dans le tunnel, désactivez cette case à cocher et utilisez l'Assistant BOVPN Policy Wizard afin de créer des stratégies pour les types de trafic que vous voulez autoriser à passer par le tunnel. Pour plus d'informations, voir Définir des Stratégies de Tunnel Personnalisées.
4. Dans la section Adresses, cliquez sur Ajouter.
   La boîte de dialogue Paramètres de route du tunnel s'affiche.

1. Dans la liste déroulante Local, sélectionnez l'adresse du réseau local (privé). Il s'agit de l'adresse IP du réseau privé du site A. Vous pouvez également cliquer sur le bouton adjacent pour entrer une adresse IP d'hôte, une adresse réseau, une plage d'adresses IP d'hôte ou un nom DNS. Ce sont les périphériques situés derrière le périphérique XTM local qui peuvent communiquer par le tunnel.
2. Dans la zone Distant, tapez l'adresse du réseau distant (privé). Il s'agit de l'adresse IP du réseau privé du site B. Vous pouvez également cliquer sur le bouton adjacent pour entrer une adresse IP d'hôte, une adresse réseau, une plage d'adresses IP d'hôte ou un nom DNS. Ce sont les périphériques situés derrière le Firebox X Edge distant qui peuvent communiquer par le tunnel.
3. Dans la liste déroulante Direction, cliquez sur le sens du tunnel. Le sens du tunnel détermine quel point de terminaison du tunnel VPN peut démarrer une connexion VPN à travers le tunnel.
4. Cliquez sur OK.
   La route du tunnel apparaît dans l'onglet Adresses de la boîte de dialogue Nouveau tunnel.

### Configurer les paramètres de phase 2

Les paramètres de phase 2 comprennent les paramètres d'une association de sécurité (AS) qui définit la manière dont les paquets de données sont sécurisés lorsqu'ils sont transmis entre deux points de terminaison. L'association de sécurité conserve toutes les informations nécessaires pour que le périphérique XTM sache comment traiter le trafic entre les points de terminaison.

1. Dans la boîte de dialogue Nouveau tunnel, cliquez sur l'onglet Paramètres de Phase 2.

1. Activez la case à cocher PFS pour activer le Perfect Forward Secrecy (PFS). Si vous activez la confidentialité PFS, sélectionnez le groupe Diffie-Hellman correspondant dans la liste déroulante.
2. Dans la zone Propositions IPSec, cliquez sur la proposition par défaut et cliquez sur Supprimer.
3. Cliquez sur Ajouter.
   La boîte de dialogue Nouvelle proposition de Phase 2 s'affiche.

1. Sélectionnez Créer une proposition de phase 2.
2. Dans la zone de texte Nom, entrez le nom de la nouvelle proposition.
3. Dans la liste déroulante Type, sélectionnez ESP ou AH.
4. Sélectionnez les paramètres d'authentification et de chiffrement de Phase 2 que vous avez sélectionnés dans les Paramètres du tunnel BOVPN.
5. Pour que les points de terminaison de passerelle génèrent et échangent de nouvelles clés après un certain laps de temps ou le passage d'un certain volume de trafic, configurez les paramètres dans la section Forcer l'expiration de la clé. Sélectionnez la durée et le nombre d'octets au bout desquels la clé doit expirer.
6. Cliquez sur OK à deux reprises pour revenir à la boîte de dialogue Tunnel Branch Office IPSec.
   Le tunnel ajouté apparaît dans la liste des Tunnels Branch Office IPSec.

1. Cliquez sur Fermer et enregistrez les modifications apportées au périphérique XTM.

Le périphérique XTM du site A est à présent configuré.

## Configurer le site B, Edge v10.x

Configurez maintenant la passerelle sur le site équipé d'un Firebox X Edge.

Pour vous connecter à la page État du système, tapez https:// dans la barre d'adresses du navigateur, suivi de l'adresse IP de l'interface approuvée de Firebox X Edge.

1. Sélectionnez VPN > Manual VPN.
   La page Manual VPN s'affiche.

1. Cliquez sur Ajouter.
   La page Ajouter une passerelle s'ouvre.

1. Entrez le nom du tunnel IPSec. Utilisez des caractères ASCII standards, sans espace.
   Le nom ne doit pas nécessairement correspondre au nom du tunnel sur Fireware Firebox.
2. Comme Méthode d'informations d'identification, sélectionnez Clé partagée.
3. Comme Clé partagée, entrez la même clé que pour la configuration du site A.

### Configurer les paramètres de phase 1

1. Sélectionnez Mode principal ou Mode agressif, selon ce que vous avez indiqué dans les Paramètres du tunnel BOVPN.
2. À côté de ID local, entrez l'adresse IP publique du Edge.
3. À côté de Type, sélectionnez Adresse IP.
4. Dans la zone Configuration de la passerelle distante, en bas de la colonne Type, sélectionnez Adresse IP.
5. En bas des colonnes IP de la passerelle distante et ID distant, entrez l'IP publique du Firebox du site A.
6. Cliquez sur le bouton Ajouter.
7. Sélectionnez les algorithmes d'authentification et de chiffrement que vous avez indiqués dans les Paramètres du tunnel BOVPN.
8. Entrez le nombre de kilo-octets et d'heures dans les deux champs La négociation expire dans.
9. Pour Groupe Diffie-Hellman, sélectionnez 1, 2, ou 5.
10. À l'aide des Paramètres du tunnel BOVPN, faites votre choix entre Envoyer des messages de conservation d'activité IKE et Détection DPD (Dead Peer Detection). Entrez les valeurs des Paramètres du tunnel BOVPN.

### Configurer les paramètres de phase 2

1. Sélectionnez les algorithmes d'authentification et de chiffrement que vous avez indiqués dans les Paramètres BOVPN.
2. Ne sélectionnez pas Activer le type de service (TOS) pour IPSec.
3. Ne sélectionnez pas Activer PFS.
4. Dans les zones de texte La clé expire dans, entrez le nombre de kilo-octets et d'heures.
5. Dans la zone de texte Réseau local, entrez l'adresse IP du réseau privé du périphérique Edge du site B.
6. Dans Réseau distant, entrez l'adresse IP du réseau privé du périphérique XTM du site A.
7. Cliquez sur le bouton Ajouter.
8. Pour enregistrer tous les paramètres dans la configuration d'Edge, cliquez sur Envoyer.

### Configurer la conservation d'activité VPN

Pour garder le tunnel VPN ouvert lorsqu'il n'est traversé par aucune connexion, vous pouvez utiliser l'adresse IP d'un ordinateur se trouvant à l'autre extrémité du tunnel en tant qu'hôte d'écho. Firebox X Edge envoie une requête ping toutes les minutes à l'hôte spécifié. Utilisez l'adresse IP d'un hôte qui est toujours en ligne et qui peut répondre aux messages ping. Vous pouvez également spécifier plusieurs adresses IP pour que Firebox puisse envoyer une requête ping à plusieurs hôtes à travers différents tunnels.

1. Sélectionnez VPN > Conservation d'activité VPN.
   La page Conservation d'activité VPN s'ouvre.

1. Entrez l'adresse IP de l'hôte d'écho. Cliquez sur Ajouter.
2. Répétez l'étape 3 pour ajouter des hôtes d'écho supplémentaires.
3. Cliquez sur Envoyer.

Le Firebox X Edge du site B est à présent configuré.

Le tunnel est négocié et le trafic y transite. Si le tunnel ne fonctionne pas, consultez les fichiers journaux des deux périphériques Firebox pour la période à laquelle vous avez essayé de démarrer le tunnel. Vous devriez trouver des messages de journaux indiquant où l'échec s'est produit et les paramètres à l'origine du problème. Vous pouvez également vérifier les messages de journal du périphérique XTM en temps réel dans Firebox System Manager pour le périphérique Fireware. Pour afficher ces messages sur le périphérique Edge, cliquez sur Journalisation dans le Firebox X Edge Web Manager.

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique