Rubriques Connexes

# Configurer un VPN depuis Fireware v11.x vers Fireware v10.x (Web UI)

Un tunnel de Branch Office Virtual Private Network (BOVPN) est un moyen sécurisé d'échanger des données via Internet entre des réseaux ou entre un hôte et un réseau. Cette rubrique vous indique comment définir un tunnel BOVPN manuel dans Fireware v11.x Web UI et dans Policy Manager pour un périphérique Fireware v10.x.

Pour le même exemple configuré dans Policy Manager pour les deux périphériques, consultez Configurer un VPN de Fireware v11.x vers Fireware v10.x (WSM).

Cette rubrique ne donne aucune information détaillée sur les différents paramètres des boîtes de dialogue du réseau BOVPN ni sur la manière dont ils affectent un tunnel existant. Si vous voulez en savoir plus sur un paramètre précis, voir :

- À propos des Tunnels Branch Office VPN Manuels
- Configurer des Passerelles BOVPN Manuelles
- Configurer des Tunnels BOVPN Manuels

## Collecter les paramètres d'adresse IP et de tunnel

Pour créer un tunnel BOVPN manuel, vous devez d'abord collecter les adresses IP et définir les paramètres des points de terminaison. Il peut être utile d'imprimer ce document, de noter ou d'indiquer les valeurs à utiliser, afin de vous y référer au moment de la configuration des paramètres dans Policy Manager.

Dans cette rubrique, les deux points de terminaison doivent avoir une adresse IP externe statique.

Pour plus d'informations sur les tunnels BOVPN vers des périphériques ayant une adresse IP externe dynamique, consultez Définir des extrémités de passerelle pour une passerelle BOVPN.

Si vous administrez un des deux périphériques seulement, vous pouvez donner le tableau à l'autre administrateur pour vous assurer qu'il ou elle utilise exactement les mêmes valeurs pour les paramètres de phase 1 et de phase 2.

Assurez-vous de configurer correctement les points de terminaison du réseau VPN et de définir des paramètres de phases 1 et 2 identiques sur les deux périphériques. Les tunnels ne fonctionnent pas si les paramètres ne correspondent pas.

Si un paramètre ne figure pas dans cette liste, ne modifiez pas la valeur par défaut.

### Paramètres du tunnel BOVPN

SITE A (Firebox avec Fireware v11.x)

Adresse IP publique : ______________________________

Adresse IP privée : _____________________________

SITE B (Firebox avec Fireware v10.x)

Adresse IP publique : ______________________________

Adresse IP privée : _____________________________

### Paramètres de PHASE 1 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Pour un tunnel BOVPN entre un Firebox utilisant Fireware v11.x et un Firebox utilisant Fireware v10.x, nous vous recommandons de sélectionner la Détection DPD (Dead Peer Detection) (RFC3706) plutôt que la Conservation d'activité IKE. Mais ne les sélectionnez pas toutes les deux. Vous devriez toujours sélectionner Détection DPD (Dead Peer Detection) si les deux périphériques de terminaison la prennent en charge.

Méthode d'informations d'identification : Sélectionnez Utiliser la clé pré-partagée.

Mode (choisissez une seule option) : Principal ____ Agressif ____

Clé pré-partagée : ______________________________

Parcours NAT : Oui ____ Non ____

Intervalle de conservation d'activité du Parcours NAT : ________________

Conservation d'activité IKE : Oui ____ Non ____

Intervalle entre les messages de conservation d'activité IKE : ________________

Nombre d'échecs max de la conservation d'activité IKE : ________________

Détection DPD (Dead Peer Detection) (RFC3706) : Oui ____ Non ____

Délai d'inactivité du trafic de la détection DPD (Dead Peer Detection) : ________________

Nombre maximal de tentatives de détection DPD (Dead Peer Detection) : ________________

Algorithme d'authentification (choisissez une seule option) : SHA1 ____ MD5____

Algorithme de chiffrement (choisissez une seule option) : DES____ 3DES____ AES-128 ____ AES-192____ AES-256____

SA Life ________________

Sélectionnez Heures comme unité de SA Life.

Groupe Diffie-Hellman (choisissez une seule option) : 1____ 2____ 5____

### Paramètres de PHASE 2 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Type : AH ____ ESP ____

Algorithme d'authentification (choisissez une seule option) : Aucun____ MD5____ SHA1____

Algorithme de chiffrement (choisissez une seule option) : DES____ 3DES____ AES-128____ AES-192____ AES-256____

Forcer l'expiration de la clé (choisissez une seule option) : Activer____ Désactiver____

Confidentialité PFS (Groupe Diffie-Hellman) : Désactiver____ Groupe1____ Groupe2____ Groupe5____

Expiration de la clé de Phase 2 (heures) ________________

Expiration de la clé de Phase 2 (kilo-octets) ________________

## Exemple de paramètres de tunnel

Cette page contient les mêmes champs que la précédente, avec des exemples de paramètres. Ces derniers correspondent aux paramètres qui figurent dans les images de cet exemple.

SITE A (Firebox avec Fireware XTM v11.x)

Adresse IP publique : 203.0.113.2

Adresse IP du réseau privé : 10.0.1.0/24

SITE B (Firebox avec Fireware v10.x)

Adresse IP publique : 198.51.100.2

Adresse IP du réseau privé : 10.50.1.0/24

Paramètres de PHASE 1 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Méthode d'informations d'identification : Sélectionnez Utiliser la clé pré-partagée.

Mode (choisissez une seule option) : Principal

Clé pré-partagée : SiteA_vers_SiteB

Parcours NAT : Oui (Y)

Intervalle d'activité du Parcours NAT : 20 secondes

Conservation d'activité IKE : Non (N)

Intervalle entre les messages de conservation d'activité IKE : aucun

Nombre d'échecs max de la conservation d'activité IKE : aucun

Détection DPD (Dead Peer Detection) (RFC3706) : Oui (Y)

Délai d'inactivité du trafic de la détection DPD (Dead Peer Detection) : 20 secondes

Nombre maximal de tentatives de détection DPD (Dead Peer Detection) : 5

Algorithme d'authentification (choisissez une seule option) : SHA1

Algorithme de chiffrement (choisissez une seule option) : 3DES

SA Life : 8

Sélectionnez Heures comme unité de SA Life.

Groupe Diffie-Hellman (choisissez une seule option) : 2

Paramètres de PHASE 2 (Les deux extrémités doivent utiliser des valeurs strictement identiques)

Type : ESP

Algorithme d'authentification (choisissez une seule option) : SHA1

Algorithme de chiffrement (choisissez une seule option) : AES (256 bits)

Forcer l'expiration de la clé (choisissez une seule option) : Activer

Confidentialité PFS (Groupe Diffie-Hellman) : Désactiver

Expiration de la clé de phase 2 (heures) : 8

Expiration de la clé de phase 2 (kilo-octets) : 128 000

Si vous utilisez WSM v11.x et WSM v10.2.2 ou ultérieure, les paramètres d'exemple de Phases 1 et 2 correspondent aux paramètres par défaut.

## Configurer le site A, Fireware v11.x

Pour ajouter une passerelle VPN :

1. Sélectionnez VPN > BOVPN.
   La page de configuration du réseau BOVPN s'ouvre, avec la liste Passerelles en haut de page.
2. Pour ajouter une passerelle, cliquez sur Ajouter à côté de la liste Passerelles.
   La page de paramètres Passerelle s'ouvre.

1. Dans la zone de texte Nom de la passerelle, entrez un nom permettant d'identifier la passerelle dans Policy Manager.
2. Sélectionnez l'onglet Paramètres généraux.
3. Dans la section Méthode d'informations d'identification, sélectionnez Utiliser la clé pré-partagée. Entrez la clé partagée.
   Cette clé partagée doit uniquement contenir des caractères ASCII standards.
4. Dans la section Points de terminaison de passerelle, cliquez sur Ajouter.
   La boîte de dialogue Paramètres des extrémités de la nouvelle passerelle apparaît.

1. Dans la section Passerelle locale, sélectionnez Par Adresse IP.
2. Dans la zone de texte Par Adresse IP, entrez l'adresse IP externe (publique) du Firebox du site A.
3. Dans la liste déroulante Interface externe, sélectionnez l'interface ayant l'IP externe (publique) du Firebox du site A.
4. Dans l'onglet Passerelle distante, sélectionnez Adresse IP statique.
5. Dans la zone de texte Adresse IP statique, entrez l'adresse IP externe (publique) du Firebox du site B.
6. Sélectionnez Par adresse IP.
7. Dans la zone de texte Par adresse IP, entrez l'adresse IP externe (publique) du Firebox du site B.
8. Cliquez sur OK pour fermer la boîte de dialogue Paramètres de points de terminaison de la nouvelle passerelle.
   La paire de passerelles que vous avez définie apparaît dans la liste des extrémités de passerelle.

### Configurer les paramètres de phase 1

Lors de la phase 1 de l'établissement d'une connexion IPSec, les deux pairs créent un canal sécurisé et authentifié pour communiquer. Il s'agit de l'association de sécurité (SA) ISAKMP.

1. Sélectionnez l'onglet Paramètres de phase 1.

1. Dans la liste déroulante Mode, sélectionnez Principal ou Agressif. Assurez-vous de choisir le même paramètre que dans les Paramètres du tunnel BOVPN au début de cette rubrique.
   L'exemple utilise le mode Principal, car les deux points de terminaison ont une adresse IP statique. Si l'un des points de terminaison a une adresse IP dynamique, vous devez utiliser le mode Agressif.
2. À l'aide des Paramètres du tunnel BOVPN, faites votre choix entre Parcours NAT, Conservation d'activité IKE et Détection DPD (Dead Peer Detection) (RFC3706).
3. Pour un tunnel BOVPN entre un Firebox avec Fireware v11.x et un Firebox avec Fireware v10.2.2 ou ultérieure, nous vous recommandons de sélectionner Parcours NAT et Détection DPD (Dead Peer Detection).
4. Dans la section Paramètres de transformation, sélectionnez la transformation par défaut et cliquez sur Modifier.

1. Dans les listes déroulantes Authentification et Chiffrement, sélectionnez les méthodes choisies dans les Paramètres du tunnel BOVPN.
2. Dans la zone de texte SA Life, entrez le paramètre retenu dans les Paramètres du tunnel BOVPN. Dans la liste déroulante, sélectionnez Heures.
3. Dans la liste déroulante Groupe de clés, sélectionnez un groupe Diffie-Hellman.
4. Cliquez sur OK. Conservez les valeurs par défaut des autres paramètres de phase 1.
5. Cliquez sur Enregistrer pour fermer la page Passerelle.
   La passerelle ajoutée apparaît dans la liste Passerelles de la page BOVPN.

### Ajouter un tunnel VPN

Après avoir défini des passerelles, vous pouvez créer des tunnels entre elles. Lorsque vous créez un tunnel, vous devez spécifier :

- Routes (points de terminaison local et distant du tunnel)
- Paramètres de phase 2 de la négociation IKE (Internet Key Exchange).

Pour ajouter un tunnel VPN :

1. À côté de la liste Tunnels, cliquez sur Ajouter.
   La page Configuration du tunnel s'affiche.

1. Dans la zone de texte Nom de tunnel, entrez le nom du tunnel.
2. Dans la liste déroulante Passerelle, sélectionnez la passerelle que vous avez créée.
3. Pour ajouter le tunnel aux stratégies BOVPN-Allow.in et BOVPN-Allow.out, dans l'onglet Adresses, cochez la case Ajouter ce tunnel aux stratégies d'autorisation BOVPN-Allow.

Ces stratégies autorisent tout le trafic correspondant aux routes du tunnel. Si vous souhaitez restreindre le trafic dans le tunnel, désactivez cette case à cocher et utilisez l'Assistant BOVPN Policy Wizard afin de créer des stratégies pour les types de trafic que vous voulez autoriser à passer par le tunnel.

1. Dans la section Adresses, cliquez sur Ajouter.
   La boîte de dialogue Paramètres de route de tunnel s'affiche.

1. Dans la section IP locale, dans la liste déroulante Choisir le type, sélectionnez le type d'adresse locale.
2. Dans la zone de texte IP réseau, entrez l'adresse du réseau local (privé).
   Il s'agit de l'adresse IP du réseau privé du site A.
3. Dans la section IP distante, dans la liste déroulante Choisir le type, sélectionnez le type d'adresse distante.
4. Dans la zone de texte IP réseau, entrez l'adresse du réseau distant (privé).
   Il s'agit de l'adresse IP du réseau privé du site B.
5. Dans la liste déroulante Direction, sélectionnez le sens du tunnel. Le sens du tunnel détermine quel point de terminaison du tunnel VPN peut démarrer une connexion VPN à travers le tunnel.
6. Cliquez sur OK.
   La route du tunnel apparaît dans la page de paramètres Tunnel, section Adresses.

### Configurer les paramètres de phase 2

Les paramètres de phase 2 comprennent les paramètres d'une association de sécurité (AS) qui définit la manière dont les paquets de données sont sécurisés lorsqu'ils sont transmis entre deux points de terminaison. L'association de sécurité conserve toutes les informations nécessaires pour que le Firebox sache comment traiter le trafic entre les points de terminaison.

1. Dans la page de paramètres Tunnel, sélectionnez l'onglet Paramètres de Phase 2.

1. Pour activer le Perfect Forward Secrecy (PFS), activez la case à cocher PFS. Si vous activez la confidentialité PFS, sélectionnez le groupe Diffie-Hellman correspondant dans la liste déroulante.
2. Le Firebox contient une proposition par défaut qui figure dans la liste Propositions IPSec. Cette proposition associe la méthode de protection des données ESP, le chiffrement AES et l'authentification SHA1. Dans cet exemple, nous utilisons la proposition par défaut. Vous pouvez :
   - Cliquer sur Ajouter pour ajouter la proposition par défaut.
   - Supprimer la proposition par défaut. Ensuite, sélectionnez une autre proposition dans la liste déroulante et cliquez sur Ajouter.
   - Ajoutez une transformation supplémentaire, tel qu'expliqué dans Ajouter une proposition de phase 2.
3. Cliquez sur Sauvegarder
   Le tunnel créé apparaît dans la liste des tunnels sur la page BOVPN.

Le Firebox du site A est à présent configuré.

## Configurer le site B, Fireware v10.x

Vous utilisez à présent Policy Manager pour configurer la passerelle du site B, sur un périphérique Firebox équipé de Fireware v10.x.

### Ajouter une passerelle VPN

1. Ouvrez Policy Manager.
2. Sélectionnez VPN > Passerelles Branch Office.
   La boîte de dialogue Passerelles s'affiche.

1. Cliquez sur Ajouter.
   La boîte de dialogue Nouvelle passerelle s'affiche.

1. Dans la zone de texte Nom de la passerelle, entrez un nom permettant d'identifier la passerelle dans Policy Manager.
2. Sélectionnez l'onglet Paramètres généraux.
3. Dans la section Méthode d'informations d'identification, sélectionnez Utiliser la clé pré-partagée. Entrez la clé partagée.
   Cette clé partagée doit uniquement contenir des caractères ASCII standard.
4. Dans la section Points de terminaison de passerelle, cliquez sur Ajouter.
   La boîte de dialogue Paramètres des points de terminaison de la nouvelle passerelle apparaît.

1. Dans la section Passerelle locale, sélectionnez Par Adresse IP.
2. Sélectionnez l'adresse IP externe (publique) du Firebox du site B dans la liste déroulante Adresse IP.
   Les adresses IP de toutes les interfaces configurées apparaissent dans la liste.
3. Dans la liste déroulante Interface externe, sélectionnez l'interface ayant l'adresse IP externe (publique) du Firebox du site B.
4. Dans la section Passerelle distante, sélectionnez Adresse IP statique.
5. Dans la zone de texte Adresse IP statique, entrez ou sélectionnez l'adresse IP externe (publique) du Firebox du site A.
6. Sélectionnez Par adresse IP.
7. Dans la zone de texte Par Adresse IP, entrez ou sélectionnez l'adresse IP externe (publique) du Firebox du site A.
8. Cliquez sur OK pour fermer la boîte de dialogue Paramètres de points de terminaison de la nouvelle passerelle.
   La paire de passerelles que vous avez définie apparaît dans la liste des points de terminaison de passerelle.

### Configurer les paramètres de phase 1

Lors de la phase 1 de l'établissement d'une connexion IPSec, les deux pairs créent un canal sécurisé et authentifié pour communiquer. Il s'agit de l'association de sécurité (SA) ISAKMP.

1. Sélectionnez l'onglet Paramètres de phase 1.

1. Dans la liste déroulante Mode, sélectionnez Principal ou Agressif. Assurez-vous de choisir le même paramètre que dans les Paramètres du tunnel BOVPN au début de cette rubrique.
2. Sélectionnez Parcours NAT, Conservation d'activité IKE ou Détection DPD (Dead Peer Detection) (RFC3706). Assurez-vous de sélectionner les mêmes valeurs que dans les Paramètres du tunnel BOVPN.

Pour un tunnel BOVPN entre un Firebox et un autre Firebox avec Fireware 10.2.2 ou une version ultérieure, nous vous recommandons de sélectionner Parcours NAT et Détection DPD (Dead Peer Detection).

1. Dans la liste Paramètres de transformation, sélectionnez la transformation par défaut et cliquez sur Supprimer.
2. Cliquez sur Ajouter pour ajouter une nouvelle transformation.

1. Dans les listes déroulantes Authentification et Chiffrement, sélectionnez les méthodes choisies dans les Paramètres du tunnel BOVPN.
2. Dans la zone de texte SA Life, entrez le paramètre retenu dans les Paramètres du tunnel BOVPN. Dans la liste déroulante, sélectionnez Heures.
3. Dans la liste déroulante Groupe de clés, sélectionnez un groupe Diffie-Hellman.
4. Cliquez sur OK. Conservez les valeurs par défaut des autres paramètres de phase 1.
5. Cliquez sur OK pour fermer la boîte de dialogue Nouvelle passerelle.
6. Cliquez sur Fermer pour fermer la boîte de dialogue Passerelles.

### Ajouter un tunnel VPN

Après avoir défini des passerelles, vous pouvez créer des tunnels entre elles. Le processus d'établissement d'un tunnel inclut la configuration suivante :

- Routes (points de terminaison local et distant du tunnel)
- Paramètres de phase 2 de la négociation IKE (Internet Key Exchange).

Pour ajouter un tunnel VPN :

1. Ouvrez Policy Manager.
2. Sélectionnez VPN > Tunnels Branch Office.
   La boîte de dialogue Tunnels IPSec Branch Office s'affiche.
3. Cliquez sur Ajouter.
   La boîte de dialogue Nouveau tunnel s'affiche.

1. Dans la zone de texte Nom de tunnel, entrez le nom du tunnel.
2. Dans la liste déroulante Passerelle, sélectionnez la passerelle que vous venez de créer.
3. Sélectionnez l'onglet Adresses.
4. si vous souhaitez ajouter le tunnel aux stratégies BOVPN-Allow.in et BOVPN-Allow.out, activez la case à cocher Ajouter ce tunnel aux stratégies d'autorisation BOVPN-Allow.

Ces stratégies autorisent tout le trafic correspondant aux routes du tunnel. Pour limiter le trafic transitant par le tunnel, décochez cette case et utilisez l'assistant BOVPN Policy Wizard dans Policy Manager pour créer des stratégies pour les types de trafic que vous souhaitez autoriser à transiter par le tunnel. Pour plus d'informations, voir Définir des Stratégies de Tunnel Personnalisées. Pour plus d'informations, consultez l'Aide de Fireware XTM WatchGuard System Manager.

1. Cliquez sur Ajouter.
   La boîte de dialogue Paramètres de route de tunnel s'affiche.

1. Dans la liste déroulante Local, sélectionnez l'adresse du réseau local (privé). Il s'agit de l'adresse IP de réseau privé du site A.

Vous pouvez également cliquer sur le bouton en regard de la liste déroulante Local pour ajouter une adresse IP d'hôte, une adresse réseau, une plage d'adresses IP d'hôte ou un nom DNS. Ce sont les périphériques situés derrière le Firebox local qui peuvent communiquer par le tunnel.

1. Dans la zone Distant, tapez l'adresse du réseau privé distant. Il s'agit de l'adresse IP du réseau privé du site B.

Vous pouvez également cliquer sur le bouton adjacent pour entrer une adresse IP d'hôte, une adresse réseau, une plage d'adresses IP d'hôte ou un nom DNS. Ce sont les périphériques situés derrière le Firebox distant qui peuvent communiquer par le tunnel.

1. Dans la liste déroulante Direction, sélectionnez le sens du tunnel. Le sens du tunnel détermine quel point de terminaison du tunnel VPN peut démarrer une connexion à travers le tunnel BOVPN.
2. Cliquez sur OK.

### Configurer les paramètres de phase 2

Les paramètres de phase 2 comprennent les paramètres d'une association de sécurité (AS) qui définit la manière dont les paquets de données sont sécurisés lorsqu'ils sont transmis entre deux points de terminaison. L'association de sécurité conserve toutes les informations nécessaires pour que le Firebox sache comment traiter le trafic entre les points de terminaison.

1. Dans la boîte de dialogue Nouveau tunnel, sélectionnez l'onglet Paramètres de Phase 2.

1. Pour activer le Perfect Forward Secrecy (PFS), activez la case à cocher PFS.
2. Si vous activez la confidentialité PFS, dans la liste déroulante PFS, sélectionnez le groupe Diffie-Hellman correspondant.
3. Cliquez sur Paramètres.
   La boîte de dialogue Paramètres d'association de sécurité avancés s'affiche.

1. Si vous souhaitez créer une association de sécurité unique pour chaque paire d'adresses locale/distante de votre définition de tunnel VPN, dans la section Sélecteur d'adresse, cochez la case Créer une association de sécurité qui contient tous les routes de tunnel. Nous vous recommandons de ne pas activer cette case à cocher.
2. Dans la section Sélecteur de service, cochez la case Créer une association de sécurité contenant tous les ports et protocoles. Si vous la désactivez, une association de sécurité sera créée pour chaque paire de port/protocole unique.

Si vous souhaitez contrôler les ports et protocoles qui sont autorisés à transiter par le tunnel, nous vous recommandons d'utiliser une stratégie BOVPN. Pour plus d'informations, voir Définir des Stratégies de Tunnel Personnalisées.

1. Cliquez sur OK.
   L'onglet Paramètres de phase 2 apparaît.
2. Dans la section Propositions IPSec, sélectionnez la proposition par défaut et cliquez sur Supprimer.
3. Cliquez sur Ajouter.
   La boîte de dialogue Nouvelle proposition de phase 2 s'affiche.

1. Sélectionnez Créer une proposition de phase 2.
2. Dans la zone de texte Nom, entrez le nom de la nouvelle proposition.
3. Dans la liste déroulante Type, sélectionnez ESP ou AH.
4. Sélectionnez les paramètres d'authentification et de chiffrement de Phase 2 que vous avez sélectionnés dans les Paramètres du tunnel BOVPN.
5. Pour régler la clé de sorte qu'elle expire après un certain laps de temps ou le passage d'un certain volume de trafic, dans les zones de texte et listes déroulantes Forcer l'expiration de la clé, sélectionnez Activer et entrez ou sélectionnez le laps de temps et le nombre de kilo-octets au bout desquels la clé expirera.

Il n'y a pas de décompte si vous entrez la valeur zéro pour la durée ou les kilo-octets. Si vous désactivez Forcer l'expiration de la clé ou si les heures et les kilo-octets sont réglés sur zéro, Fireware utilise les valeurs par défaut de zéro kilo-octet et huit heures.

1. Cliquez sur OK à deux reprises pour revenir à la boîte de dialogue Tunnel Branch Office IPSec.
   Le tunnel ajouté apparaît dans la liste des Tunnels Branch Office IPSec.

1. Cliquez sur Fermer.
2. Enregistrez la configuration dans Firebox.

Le Firebox du site B est à présent configuré.

Une fois les deux extrémités du tunnel configurées, le tunnel s'ouvre et le trafic transite par le tunnel. Si le tunnel ne fonctionne pas, examinez les fichiers journaux des deux périphériques pour la période à laquelle vous avez essayé de démarrer le tunnel. Des messages de journal apparaissent dans le fichier journal pour indiquer où l'échec se situe dans la configuration et les paramètres qui peuvent contribuer au problème. Vous pouvez également consulter les messages de journaux en temps réel dans Firebox System Manager.

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique