Rubriques Connexes

# Améliorer la disponibilité d'un tunnel Branch Office VPN

Sur certaines installations Branch Office VPN (BOVPN) dont tous les paramètres sont justes, les connexions BOVPN ne fonctionnent pas toujours correctement. Les informations ci-dessous vous permettront de résoudre les problèmes de disponibilité de votre tunnel BOVPN. Ces procédures n'ont aucune incidence sur la performance générale du tunnel BOVPN.

La plupart des tunnels BOVPN restent disponibles pour acheminer le trafic à tout moment. Les problèmes sont souvent liés à l'une au moins des conditions suivantes :

- Un des points de terminaison ou les deux ont des connexions externes non fiables. Elles se caractérisent notamment par une latence élevée, une forte fragmentation des paquets et de nombreuses pertes de paquets. Ces facteurs ont des conséquences plus importantes sur le trafic BOVPN que sur d'autres trafics courants tels que le HTTP et le SMTP. Dans le trafic BOVPN, les paquets chiffrés doivent arriver au point de terminaison de destination, être déchiffrés, puis réassemblés avant que le trafic non chiffré puisse être acheminé à l'adresse IP de destination.
- L'un des points de terminaison n'est pas un Firebox ou est un ancien périphérique XTM ou Firebox équipé d'un logiciel système ancien. Des tests de compatibilité sont réalisés entre les nouveaux produits WatchGuard et d'anciens périphériques avec les derniers logiciels disponibles pour les anciens périphériques. Les logiciels anciens peuvent poser des problèmes qui ont été résolus dans leurs versions plus récentes.
  Étant donné qu'ils se fondent sur la norme IPSec, les périphériques XTM et Firebox sont compatibles avec la plupart des points de terminaison tiers. Toutefois, certains périphériques de terminaison tiers ne sont pas conformes à la norme IPSec en raison de problèmes logiciels ou de paramètres propriétaires.
- Si le trafic transitant par le tunnel est faible, ou s'il s'écoule de longs intervalles entre deux passages de trafic, certains points de terminaison ferment la connexion VPN. Ce n'est pas le cas des Firebox dotés de Fireware et des périphériques Firebox X Edge. Certains périphériques tiers utilisent cette condition pour fermer les tunnels qui semblent inactifs.

Vous pouvez installer le système d'exploitation le plus récent sur tous les Firebox, mais les autres conditions de cette liste ne sont pas de votre ressort. Il est toutefois possible de prendre certaines mesures pour augmenter la disponibilité du Branch Office VPN.

Sélectionner la conservation d'activité IKE ou la détection DPD (Dead Peer Detection) (mais pas les deux)

Ces deux paramètres peuvent vous indiquer quand un tunnel est déconnecté. Lorsqu'ils découvrent que le tunnel s'est déconnecté, ils entament une nouvelle négociation de Phase 1. Si vous sélectionnez la conservation d'activité IKE et la détection DPD (Dead Peer Detection) en même temps, la nouvelle négociation de Phase 1 lancée par l'une peut donner l'impression à la seconde que le tunnel est déconnecté et l'amener à lancer une deuxième négociation. Chaque négociation de Phase 1 interrompt tout trafic dans le tunnel, jusqu'à ce que le tunnel ait été négocié. Pour améliorer la stabilité du tunnel, sélectionnez la conservation d'activité IKE ou la détection DPD (Dead Peer Detection). Mais ne les sélectionnez pas toutes les deux.

Le paramètre Conservation d'activité IKE est uniquement utilisé par les Firebox. Ne l'utilisez pas si le point de terminaison distant est un périphérique IPSec tiers.

Lorsque vous activez la conservation d'activité IKE, le Firebox envoie à intervalles réguliers un message au périphérique de passerelle distant et attend une réponse. Intervalle du message détermine la fréquence d'envoi du message. Nombre d'échecs max indique le nombre d'absences de réponse du périphérique de passerelle distant avant que le Firebox n'essaie de renégocier la connexion de Phase 1.

La détection DPD (Dead Peer Detection) est une norme professionnelle utilisée par la plupart des périphériques IPSec. Sélectionnez-la si les deux périphériques de terminaison la prennent en charge.

Lorsque vous activez la détection DPD (Dead Peer Detection), le Firebox surveille le trafic du tunnel pour déterminer si celui-ci est actif. Si aucun trafic n'est reçu du pair distant pendant la durée entrée dans Délai d'inactivité du trafic, et si un paquet doit être envoyé au pair, le Firebox envoie une requête. En l'absence de réponse au bout du Nombre maximal de tentatives, le Firebox renégocie la connexion de Phase 1. Pour plus d'informations sur la détection DPD (Dead Peer Detection), voir http://www.ietf.org/rfc/rfc3706.txt.

Les paramètres Conservation d'activité IKE et Détection DPD (Dead Peer Detection) font partie des paramètres de la Phase 1.

Pour modifier les paramètres de Phase 1 dans Fireware Web UI :

1. Sélectionnez VPN > BOVPN.
2. Sélectionnez la passerelle souhaitée, puis cliquez sur Modifier.
3. Sélectionnez l'onglet Paramètres de phase 1.

Pour modifier les paramètres de Phase 1 dans Policy Manager :

1. Sélectionnez VPN > Passerelles Branch Office.
2. Sélectionnez la passerelle souhaitée, puis cliquez sur Modifier.
3. Sélectionnez l'onglet Paramètres de phase 1.

Utiliser les paramètres VPN par défaut

Les paramètres par défaut du réseau Branch Office VPN offrent la meilleure combinaison de sécurité et de vitesse. Utilisez-les dans la mesure du possible. Si le périphérique de terminaison distant ne prend pas en charge l'un des paramètres WatchGuard par défaut, configurez le Firebox de sorte qu'il utilise le paramètre par défaut du point de terminaison distant. Voici les paramètres par défaut de WSM 11.x :

Si un paramètre ne figure pas dans les paramètres VPN, vous ne pouvez pas le modifier.

Paramètres Généraux
Mode | Principal (Sélectionnez Agressif si l'un des périphériques a une adresse IP externe dynamique.)
Parcours NAT | Oui
Intervalle de Conservation d'Activité du Parcours NAT | 20 secondes
Conservation d'activité IKE (I) | Désactivé
Intervalle entre les Messages de Conservation d'Activité IKE | Aucun
Nombre d'échecs max de la Conservation d'Activité IKE | Aucun
Détection DPD (Dead Peer Detection) (RFC3706) | Activé
Délai d'inactivité du trafic de la détection DPD (Dead Peer Detection) | 20 secondes
Nombre maximal de tentatives de détection DPD (Dead Peer Detection) | 5

Paramètres de transformation de PHASE 1
Algorithme d'authentification | SHA-1
Algorithme de chiffrement | 3DES
SA Life ou expiration de la négociation (heures) | 8
SA Life ou expiration de la négociation (kilo-octets) | 0
Groupe Diffie-Hellman | 2

Paramètres de proposition de PHASE 2
Type | ESP
Algorithme d'authentification | SHA-1
Algorithme de chiffrement | AES (256 bits)
Forcer l'expiration de la clé | Activer
Expiration de la clé de Phase 2 (heures) | 8
Expiration de la clé de Phase 2 (kilo-octets) | 128000
Activer PFS (Perfect Forward Secrecy) | Non
Groupe Diffie-Hellman | Aucun

Configurer le Firebox pour faire transiter les messages de journal par le tunnel

Si aucun trafic ne passe par le tunnel pendant une certaine durée, une extrémité de passerelle peut décider que l'autre extrémité est indisponible et ne pas essayer de renégocier immédiatement le tunnel VPN. Un moyen de s'assurer que le trafic transite bien par le tunnel à tout moment consiste à configurer le Firebox afin qu'il fasse transiter les messages de journal par le tunnel. Il n'est pas nécessaire d'avoir un serveur Log Server pour recevoir et garder la trace du trafic. Dans ce cas, vous configurez volontairement le Firebox de sorte qu'il envoie des messages de journal à un serveur Log Server qui n'existe pas. Cela crée un volume constant et minime de trafic qui transite par le tunnel, ce qui peut contribuer à assurer la stabilité du tunnel.

Il existe deux types de données de journal : la journalisation WatchGuard et la journalisation Syslog. Si le périphérique est configuré pour envoyer des données de journal à un serveur Log Server WatchGuard et à un serveur Syslog, vous ne pouvez pas utiliser cette méthode pour acheminer le trafic par le tunnel.

Vous devez choisir l'adresse IP d'un serveur Log Server qui recevra les données de journal. Pour choisir l'adresse IP, suivez la procédure suivante :

- L'adresse IP du serveur Log Server que vous spécifiez doit être une adresse IP incluse dans les paramètres de routage du tunnel distant.
  Pour plus d'informations, consultez Ajouter des routes à un tunnel.
- L'adresse IP du serveur Log Server ne doit pas être une adresse IP attribuée à un périphérique réel.

Les deux types de journalisation génèrent des volumes de trafic différents.

Journalisation de WatchGuard

Aucune donnée de journal n'est envoyée tant que le Firebox n'est pas connecté à un Log Server. Les seuls types de trafic envoyés via le tunnel sont des tentatives de connexion à un serveur Log Server qui sont envoyées toutes les trois minutes. Cela peut constituer un trafic suffisant pour contribuer à la stabilité du tunnel, tout en ayant une incidence mineure sur le reste du trafic BOVPN.

Journalisation de Syslog

Les données de journal sont immédiatement envoyées à l'adresse IP du serveur SysLog. Le volume de données du journal dépend du trafic géré par le périphérique. La journalisation de Syslog génère habituellement un certain trafic, car des paquets transitent en permanence par le tunnel. En certaines occasions, le volume de trafic peut ralentir le trafic BOVPN ordinaire, mais c'est assez rare.

Pour améliorer la stabilité et avoir le moins d'incidence possible sur le trafic BOVPN, essayez d'abord l'option Journalisation de WatchGuard. Si cela n'améliore pas la stabilité du tunnel BOVPN, essayez la journalisation de Syslog. Les procédures de cette rubrique partent du principe que les deux périphériques de terminaison sont des périphériques WatchGuard, et qu'aucun d'eux n'est configuré pour envoyer des données de journal, que ce soit à un WatchGuard Log Server ou à un serveur Syslog. Si un point de terminaison est déjà configuré pour envoyer des données de journal collectées par un serveur, ne modifiez pas ces paramètres de journalisation.

Les différentes options que vous pouvez utiliser sont les suivantes :

- Configurer un point de terminaison de sorte qu'il envoie du trafic de journal WatchGuard via le tunnel.
- Configurer l'autre point de terminaison de sorte qu'il envoie du trafic de journal WatchGuard via le tunnel.
- Configurer les deux points de terminaison de sorte qu'ils envoient du trafic de journal WatchGuard via le tunnel.
- Configurer un point de terminaison de sorte qu'il envoie du trafic de journal Syslog via le tunnel.
- Configurer uniquement l'autre point de terminaison de sorte qu'il envoie du trafic de journal Syslog via le tunnel.
- Configurer les deux points de terminaison de sorte qu'ils envoient du trafic de journal Syslog via le tunnel.

Pour configurer votre Firebox de sorte qu'il envoie des données de journalisation à un serveur WatchGuard Log Server via le tunnel, dans Fireware Web UI :

1. Sélectionnez Système > Journalisation.
   La page Journalisation s'ouvre.
2. Cochez la case Envoyer les messages des journaux vers ces Log Servers Dimension ou WSM.
3. Sur l'onglet Log Servers 1, cliquez sur Ajouter.
   La boîte de dialogue Ajouter WatchGuard Log Server s'affiche.
4. Dans la zone de texte Adresse du Log Server, entrez l'adresse IP ou le nom de domaine entièrement qualifié (FQDN) du Log Server.
   DNS doit être activé pour utiliser un FQDN comme adresse.
5. Dans les zones de texte Clé d'Authentification et Confirmer, entrez la clé d'authentification pour votre instance de Dimension ou de Log Server WSM. Astuce !La gamme autorisée pour la Clé d'Authentification de la journalisation est de 8 à 32 caractères. Vous pouvez utiliser tous les caractères à l'exception des espaces et des barres obliques (/ ou \).
6. Cliquez sur OK.
   L'adresse IP du serveur s'affiche dans la liste Log Servers 1.
7. Cliquez sur Enregistrer.

Pour configurer votre Firebox de sorte qu'il envoie des données Syslog via le tunnel, dans Fireware Web UI :

1. Sélectionnez Configurer > Journalisation.
   La boîte de dialogue Configurer la Journalisation s'affiche avec l'onglet WatchGuard Log Server sélectionné.
2. Sélectionnez l'onglet Serveur Syslog.
3. Sélectionnez la case à cocher Envoyer les messages du journal au serveur Syslog à cette adresse IP.
4. Dans la zone de texte Adresse IP, saisissez l'adresse IP du Syslog.
5. Dans la zone de texte Port, le port du serveur syslog par défaut (514) s'affiche. Pour changer le port du serveur, tapez ou sélectionnez un autre port pour votre serveur.
6. Dans la liste déroulante Format du Journal, sélectionnez Syslog ou IBM LEEF.
   Les informations pouvant être inscrites dans les messages de journal dépendent du format de journal que vous sélectionnez.
7. Pour inclure la date et l'heure de l'événement dans les détails du message de journal de votre Firebox, cochez la case Horodatage.
8. Pour inclure le numéro de série du Firebox dans les détails des messages de journal, cochez la case Le numéro de série du périphérique.
9. Dans la section Paramètres Syslog, pour chaque type de message de journal, sélectionnez une installation syslog dans la liste déroulante.
   Si vous sélectionnez le format IBM LEEF, vous devez cocher la case En-tête syslog avant de pouvoir sélectionner l'installation syslog pour les types de message de journal.
   - Pour les messages Syslog à priorité élevée, tels que les alarmes, sélectionnez Local0.
   - Pour affecter des priorités aux autres types de messages de journal (les numéros inférieurs ont une priorité plus élevée), sélectionnez Local1–Local7.
   - Pour ne pas envoyer les informations d'un type de message, sélectionnez AUCUN.
10. Cliquez sur Enregistrer.

Pour configurer votre Firebox de sorte qu'il envoie des données de journal à un serveur WatchGuard Log Server via le tunnel, dans Policy Manager :

1. Sélectionnez Configurer > Journalisation.
   La boîte de dialogue Configurer la journalisation s'affiche.
2. Cochez la case Envoyer les messages des journaux vers ces Log Servers Dimension ou WSM.
3. Cliquez sur Configurer.
   La boîte de dialogue Configurer les serveurs Log Servers s'affiche avec l'onglet Log Servers 1 sélectionné.
4. Sur l'onglet Log Servers 1, cliquez sur Ajouter.
   La boîte de dialogue Ajouter un processeur d'événements apparaît.
5. Dans la zone de texte Adresse du Log Server, entrez l'adresse IP ou le nom de domaine entièrement qualifié (FQDN) du Log Server.
   DNS doit être activé pour utiliser un FQDN comme adresse.
6. Dans les zones de texte Clé d'Authentification et Confirmer la Clé, entrez la clé d'authentification pour votre instance de Dimension ou de Log Server WSM. Astuce !La gamme autorisée pour la Clé d'Authentification de la journalisation est de 8 à 32 caractères. Vous pouvez utiliser tous les caractères à l'exception des espaces et des barres obliques (/ ou \).
7. Cliquez sur OK.
   La boîte de dialogue Ajouter un processeur d'événements ferme et l'adresse IP du serveur s'affiche dans la liste Log Servers 1.

Pour configurer votre Firebox de sorte qu'il envoie les données Syslog par le tunnel, dans Policy Manager :

1. Sélectionnez Configurer > Journalisation.
   La boîte de dialogue Configurer la journalisation s'affiche.

1. Cochez la case Envoyer les messages de journal au serveur syslog.
2. Dans la zone de texte adresse IP, entrez l'adresse IP du serveur Syslog.
3. Pour modifier le port du serveur, dans la zone de texte Port, entrez ou sélectionnez le nouveau numéro du port.
   Le port par défaut est 514.
4. Dans la liste déroulante Format des journaux, sélectionnez Syslog.
5. Cliquez sur Configurer.
   La boîte de dialogue Configurer Syslog s'affiche. Les options comprises dans la boîte de dialogue dépendent du format de journal que vous sélectionnez.
6. Pour inclure l'horodatage dans les détails du message de journal de votre Firebox, cochez la case Horodatage.
7. Pour inclure le numéro de série du Firebox dans les détails des messages de journal, cochez la case Le Numéro de Série du Périphérique.
8. Pour chaque type de message de journal, sélectionnez une installation Syslog :
   - Pour les messages Syslog à priorité élevée, tels que les alarmes, sélectionnez Local0.
   - Pour affecter des priorités aux autres types de messages de journal (les numéros inférieurs ont une priorité plus élevée), sélectionnez Local1–Local7.
   - Pour ne pas envoyer les informations d'un type de message, sélectionnez AUCUN.
9. Cliquez sur OK pour fermer la boîte de dialogue Configurer Syslog.
10. Cliquez sur OK pour fermer la boîte de dialogue Configurer la Journalisation .
11. Enregistrer le Fichier de Configuration.

#### Voir aussi

Surveiller et Dépanner les Tunnels BOVPN

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique