Configuration VPN (Virtual Private Network) de passerelle vers passerelle sur les gammes de routeurs RV320 et RV325

Options de téléchargement

PDF (315.1 KB)
Consulter à l'aide d'Adobe Reader sur un grand nombre d'appareils
ePub (312.5 KB)
Consulter à l’aide de différentes applications sur iPhone, iPad, Android ou Windows Phone
Mobi (Kindle) (527.7 KB)
Consulter sur un appareil Kindle ou à l’aide d’une application Kindle sur plusieurs appareils

Mis à jour:14 mai 2019

ID du document:SMB4270

Bias-Free Language

The documentation set for this product strives to use bias-free language. For the purposes of this documentation set, bias-free is defined as language that does not imply discrimination based on age, disability, gender, racial identity, ethnic identity, sexual orientation, socioeconomic status, and intersectionality. Exceptions may be present in the documentation due to language that is hardcoded in the user interfaces of the product software, language used based on RFP documentation, or language that is used by a referenced third-party product. Learn more about how Cisco is using Inclusive Language.

À propos de cette traduction

Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.

Configuration VPN (Virtual Private Network) de passerelle vers passerelle sur les gammes de routeurs RV320 et RV325

Objectif

Les VPN sont utilisés pour établir des connexions très sécurisées sur deux points d'extrémité, sur Internet public ou partagé, via ce qu'on appelle un tunnel VPN. Plus précisément, une connexion VPN passerelle à passerelle permet à deux routeurs de se connecter en toute sécurité et à un client d’une extrémité de faire logiquement partie du même réseau distant de l’autre extrémité. Cela permet de partager plus facilement et en toute sécurité les données et les ressources sur Internet. La configuration doit être effectuée des deux côtés de la connexion pour qu'une connexion VPN passerelle à passerelle soit établie. L'objectif de cet article est de vous guider dans la configuration d'une connexion VPN passerelle à passerelle sur la gamme de routeurs VPN RV32x.

Périphériques pertinents

Routeur VPN double WAN · RV320
Routeur VPN double WAN Gigabit · RV325

Version du logiciel

•v 1.1.0.09

Passerelle vers passerelle

Étape 1. Connectez-vous à l'utilitaire de configuration Web et choisissez VPN > Gateway to Gateway. La page Passerelle vers passerelle s'ouvre :

Pour que la connexion VPN fonctionne correctement, les valeurs IPSec (Internet Protocol Security) des deux côtés de la connexion doivent être identiques. Les deux côtés de la connexion doivent appartenir à différents réseaux locaux (LAN) et au moins un des routeurs doit être identifiable par une adresse IP statique ou un nom d’hôte DNS dynamique.

Ajouter un nouveau tunnel

N° de tunnel · — Affiche le tunnel en cours qui va être créé. Le routeur prend en charge 100 tunnels.

Étape 1. Entrez un nom pour le tunnel VPN dans le champ Tunnel Name. Il n'est pas nécessaire qu'il corresponde au nom utilisé à l'autre extrémité du tunnel.

Étape 2. Dans la liste déroulante Interface, sélectionnez le port WAN (Wide Area Network) à utiliser pour le tunnel.

· WAN1 : port WAN dédié du routeur.

· WAN2 : port WAN2/DMZ du routeur. Ne s'affiche dans le menu déroulant que s'il a été configuré en tant que WAN et non en tant que port DMZ (Demilitarize Zone).

· USB1 : port USB1 du routeur. Fonctionne uniquement si une clé USB 3G/4G/LTE est connectée au port.

· USB2 : port USB2 du routeur. Fonctionne uniquement si une clé USB 3G/4G/LTE est connectée au port.

Étape 3. Dans la liste déroulante Keying Mode, sélectionnez la sécurité du tunnel à utiliser.

· Manual : cette option vous permet de configurer manuellement la clé au lieu de négocier la clé avec l'autre côté de la connexion VPN.

· IKE avec clé prépartagée : sélectionnez cette option pour activer le protocole IKE (Internet Key Exchange Protocol) qui configure une association de sécurité dans le tunnel VPN. IKE utilise une clé pré-partagée pour authentifier un homologue distant.

· IKE avec certificat : sélectionnez cette option pour activer le protocole IKE (Internet Key Exchange) avec certificat qui offre un moyen plus sécurisé de générer et d'échanger automatiquement des clés pré-partagées afin d'établir des communications plus authentifiées et plus sécurisées pour le tunnel.

Étape 4. Cochez la case Activer pour activer le tunnel VPN. Par défaut, il est activé.

Configuration du groupe local

Ces paramètres doivent correspondre aux paramètres de configuration du groupe distant du routeur situé à l'autre extrémité du tunnel VPN.

Note: Si Manual ou IKE avec clé prépartagée a été sélectionné dans la liste déroulante Keying Mode de l'étape 3 de Add a New Tunnel start de l'étape 1 et ignorez les étapes 2 à 4. Si IKE avec certificat a été sélectionné, ignorez l'étape 1.

Étape 1. Dans la liste déroulante Local Security Gateway Type (Type de passerelle de sécurité locale), sélectionnez la méthode d'identification du routeur pour établir le tunnel VPN.

· IP Only : l'accès au tunnel est possible via une adresse IP WAN statique uniquement. Vous pouvez choisir cette option si seul le routeur possède une adresse IP WAN statique. L’adresse IP WAN statique est un champ généré automatiquement.

Authentification · IP + Domain Name (FQDN) : l'accès au tunnel est possible via une adresse IP statique et un domaine enregistré. Si vous choisissez cette option, saisissez le nom du domaine enregistré dans le champ Domain Name (nom de domaine). L’adresse IP WAN statique est un champ généré automatiquement.

Authentification · IP + E-mail Addr. (USER FQDN) : l'accès au tunnel est possible par le biais d'une adresse IP statique et d'une adresse e-mail. Si vous choisissez cette option, saisissez l’adresse courriel dans le champ Email Address. L’adresse IP WAN statique est un champ généré automatiquement.

Authentification · Dynamic IP + Domain Name (FQDN) : l'accès au tunnel est possible via une adresse IP dynamique et un domaine enregistré. Si vous choisissez cette option, saisissez le nom du domaine enregistré dans le champ Domain Name (nom de domaine).

Note: Les modifications suivantes apportées à la zone Configuration du groupe local changent lors de l'utilisation d'IKE avec certificat.

La liste déroulante Local Security Gateway Type devient inmodifiable et affiche IP + Certificate. Il s'agit de la ressource LAN qui peut utiliser le tunnel.
Le champ IP Address affiche l'adresse IP WAN du périphérique. Il n'est pas modifiable par l'utilisateur.

Étape 2. Sélectionnez un certificat dans la liste déroulante Certificat local. Les certificats offrent une sécurité d'authentification renforcée sur les connexions VPN.

Étape 3. (Facultatif) Cliquez sur le bouton Auto-générateur pour afficher la fenêtre Générateur de certificats pour configurer et générer des certificats.

Étape 4. (Facultatif) Cliquez sur le bouton Importer le certificat pour afficher la fenêtre Mon certificat pour afficher et configurer les certificats.

Étape 5. Dans la liste déroulante Local Security Group Type, sélectionnez l'une des options suivantes :

· IP Address : cette option vous permet de spécifier un périphérique pouvant utiliser ce tunnel VPN. Vous devez seulement entrer l'adresse IP du périphérique dans le champ d'adresse IP.

· Subnet : sélectionnez cette option pour autoriser tous les périphériques appartenant au même sous-réseau à utiliser le tunnel VPN. Vous devez entrer l'adresse IP du réseau dans le champ IP Address (Adresse IP) et son masque de sous-réseau respectif dans le champ Subnet Mask (Masque de sous-réseau).

· IP Range : sélectionnez cette option pour spécifier une plage de périphériques pouvant utiliser le tunnel VPN. Vous devez entrer la première adresse IP et la dernière adresse IP de la plage de périphériques dans les champs Begin IP et End IP.

Configuration du groupe distant

Ces paramètres doivent correspondre aux paramètres de configuration de groupe local du routeur situé à l'autre extrémité du tunnel VPN.

Note: Si Manual ou IKE avec clé prépartagée a été sélectionné dans la liste déroulante Keying Mode de l'étape 3 de Add a New Tunnel start de l'étape 1 et ignorez les étapes 2 à 5. Ou si IKE avec certificat a été sélectionné, ignorez l'étape 1.

Étape 1. Dans la liste déroulante Remote Security Gateway Type, sélectionnez la méthode permettant d'identifier l'autre routeur pour établir le tunnel VPN.

· IP Only : l'accès au tunnel est possible via une adresse IP WAN statique uniquement. Si vous connaissez l'adresse IP du routeur distant, choisissez l'adresse IP dans la liste déroulante située directement sous le champ Remote Security Gateway Type et saisissez l'adresse. Choisissez IP by DNS Resolved si vous ne connaissez pas l'adresse IP mais que vous connaissez le nom de domaine et saisissez le nom de domaine du routeur dans le champ IP by DNS Resolved.

Authentification · IP + Domain Name (FQDN) : l'accès au tunnel est possible via une adresse IP statique et un domaine enregistré du routeur. Si vous connaissez l'adresse IP du routeur distant, choisissez l'adresse IP dans la liste déroulante située directement sous le champ Remote Security Gateway Type et saisissez l'adresse. Choisissez IP by DNS Resolved si vous ne connaissez pas l'adresse IP mais que vous connaissez le nom de domaine et saisissez le nom de domaine du routeur dans le champ IP by DNS Resolved. Si vous choisissez cette option, saisissez le nom du domaine enregistré dans le champ Domain Name (nom de domaine).

Authentification · IP + Email Addr. (USER FQDN) : l'accès au tunnel est possible par le biais d'une adresse IP statique et d'une adresse e-mail.Si vous connaissez l'adresse IP du routeur distant, choisissez l'adresse IP dans la liste déroulante située directement sous le champ Remote Security Gateway Type et saisissez l'adresse. Choisissez IP by DNS Resolved si vous ne connaissez pas l'adresse IP mais que vous connaissez le nom de domaine et saisissez le nom de domaine du routeur dans le champ IP by DNS Resolved. Saisissez l'adresse de messagerie dans le champ Email Address (Adresse de messagerie).

· Authentification FQDN (Dynamic IP + Email Addr.) (USER FQDN) : l'accès au tunnel est possible par le biais d'une adresse IP dynamique et d'une adresse e-mail. Si vous choisissez cette option, saisissez l’adresse courriel dans le champ Email Address.
Note: Si les deux routeurs ont des adresses IP dynamiques NE choisissez PAS Dynamic IP + Email Address pour les deux passerelles.

Note: Les modifications suivantes apportées à la zone de configuration du groupe distant sont apportées lors de l'utilisation d'IKE avec certificat.

La liste déroulante Remote Security Gateway Type devient inmodifiable et affiche IP + Certificate. Il s'agit de la ressource LAN qui peut utiliser le tunnel.

Étape 2. Si vous connaissez l'adresse IP du routeur distant, choisissez l'adresse IP dans la liste déroulante située directement sous le champ Remote Security Gateway Type et saisissez l'adresse. Choisissez IP by DNS Resolved si vous ne connaissez pas l'adresse IP mais que vous connaissez le nom de domaine et saisissez le nom de domaine du routeur distant dans le champ IP by DNS Resolved

Étape 3. Sélectionnez un certificat dans la liste déroulante Certificat distant. Les certificats offrent une sécurité d'authentification renforcée sur les connexions VPN.

Étape 4. (Facultatif) Cliquez sur le bouton Importer un certificat distant pour importer un nouveau certificat.

Étape 5. (Facultatif) Cliquez sur le bouton Autoriser CSR pour identifier le certificat avec une demande de signature numérique.

Étape 6. Dans la liste déroulante Local Security Group Type, sélectionnez l'une des options suivantes :

· IP Address : cette option vous permet de spécifier un périphérique pouvant utiliser ce tunnel VPN. Vous devez seulement entrer l'adresse IP du périphérique dans le champ d'adresse IP.

Configuration IPSec

Pour que le chiffrement soit correctement configuré entre les deux extrémités du tunnel VPN, les deux paramètres doivent être identiques. Dans ce cas, IPSec crée une authentification sécurisée entre les deux périphériques. Il le fait en deux phases.

Configuration d'IPSec pour le mode Clé manuelle

Disponible uniquement si Manual a été sélectionné dans la liste déroulante Keying Mode de l'étape 3 de Add a New Tunnel. Il s'agit d'un mode de sécurité personnalisé permettant de générer une nouvelle clé de sécurité par vous-même et de ne pas négocier avec la clé. Il est conseillé d’utiliser ce mode pendant un dépannage et dans des petits environnements statiques.

Étape 1. Saisissez la valeur hexadécimale unique pour l'index de paramètre de sécurité entrant (SPI) dans le champ SPI entrant. SPI est transporté dans l'en-tête du protocole ESP (Encapsulating Security Payload) qui détermine ensemble la protection du paquet entrant. Vous pouvez saisir de 100 à ffffffff.

Étape 2. Saisissez la valeur hexadécimale unique pour SPI dans le champ Outgoing SPI. SPI est transporté dans l’en-tête ESP qui détermine ensemble la protection du paquet sortant. Vous pouvez saisir de 100 à ffffffff.

Note: Les SPI entrants et sortants doivent s'apparier aux deux extrémités afin d'établir un tunnel.

Étape 3. Choisissez la méthode de cryptage appropriée dans la liste déroulante Encryption (Cryptage). Le chiffrement recommandé est 3DES. Le tunnel VPN doit utiliser la même méthode de chiffrement pour ses deux extrémités.

· DES - DES (Data Encryption Standard) est une méthode de cryptage 56 bits ancienne, plus rétrocompatible, qui n'est pas aussi sécurisée qu'il est facile à casser.

· 3DES - 3DES (Triple Data Encryption Standard) est une méthode de cryptage simple de 168 bits qui permet d'augmenter la taille de la clé en cryptant les données trois fois, ce qui renforce la sécurité par rapport aux DES.

Étape 4. Sélectionnez la méthode d'authentification appropriée dans la liste déroulante Authentification. L'authentification recommandée est SHA1. Le tunnel VPN doit utiliser la même méthode d’authentification pour ses deux extrémités.

· MD5 — MD5 (Message Digest Algorithm-5) représente une fonction de hachage hexadécimal à 32 chiffres qui protège les données contre les attaques malveillantes par le calcul de la somme de contrôle.

· SHA1 — SHA1 (Secure Hash Algorithm version 1) est une fonction de hachage de 160 bits plus sécurisée que MD5.

Étape 5. Saisissez la clé pour chiffrer et déchiffrer les données dans le champ Encryption Key (Clé de chiffrement). Si vous choisissez la méthode de chiffrement DES, à l’étape 3, saisissez une valeur hexadécimale de 16 chiffres. Si vous choisissez la méthode de chiffrement 3DES, à l’étape 3, saisissez une valeur hexadécimale de 40 chiffres.

Étape 6. Entrez une clé pré-partagée pour authentifier le trafic dans le champ Authentication Key. Si vous choisissez MD5 comme méthode d'authentification à l'étape 4, entrez une valeur hexadécimale à 32 chiffres. Si vous choisissez SHA comme méthode d'authentification à l'étape 4, entrez une valeur hexadécimale à 40 chiffres. Le tunnel VPN doit utiliser la même clé prépartagée pour ses deux extrémités.

Étape 7. Cliquez sur Save pour enregistrer les paramètres.

Configuration IPSec pour IKE avec clé prépartagée

Disponible uniquement si IKE avec clé prépartagée a été sélectionné dans la liste déroulante Mode de clé de l'étape 3 de l'ajout d'un nouveau tunnel.

Étape 1. Sélectionnez le groupe DH de phase 1 approprié dans la liste déroulante Groupe DH de phase 1. La phase 1 est utilisée pour établir le simplex, l’association de sécurité logique (SA) entre les deux extrémités du tunnel afin de prendre en charge la communication sécurisée de l’authentification. Diffie-Hellman (DH) est un protocole d'échange de clé de chiffrement utilisé lors de la connexion de phase 1 pour partager une clé secrète afin d'authentifier la communication.

· Groupe 1 - 768 bits — Représente la clé la plus puissante et le groupe d'authentification le plus sécurisé. Il faut plus de temps pour calculer les clés IKE. Cette option est préférable si le débit du réseau est élevé.

· Groupe 2 - 1 024 bits — Représente une clé de résistance supérieure et un groupe d'authentification plus sécurisé. Il faut du temps pour calculer les clés IKE.

· Groupe 5 - 1 536 bits — Représente la clé la plus faible et le groupe d'authentification le plus non sécurisé. Il faut moins de temps pour calculer les clés IKE. Cette option est préférable si le débit du réseau est faible.

Étape 2. Choisissez le chiffrement de phase 1 approprié pour chiffrer la clé dans la liste déroulante de chiffrement de phase 1. Les normes AES-128, AES-192 ou AES-256 sont recommandées. Le tunnel VPN doit utiliser la même méthode de chiffrement pour ses deux extrémités.

· DES - Data Encryption Standard (DES) est une ancienne méthode de cryptage 56 bits qui n'est pas très sécurisée dans le monde d'aujourd'hui.

· 3DES - La norme 3DES (Triple Data Encryption Standard) est une méthode de cryptage simple de 168 bits qui permet d'augmenter la taille de la clé en cryptant les données trois fois, ce qui assure plus de sécurité que DES.

· AES-128 — Advanced Encryption Standard (AES) est une méthode de cryptage 128 bits qui transforme le texte brut en texte chiffré à l'aide de répétitions de 10 cycles.

· AES-192 : méthode de cryptage 192 bits qui transforme le texte brut en texte chiffré en 12 cycles de répétitions.

· AES-256 — Méthode de cryptage 256 bits qui transforme le texte brut en texte chiffré à l'aide de répétitions de 14 cycles.

Étape 3. Sélectionnez la méthode d'authentification appropriée dans la liste déroulante Phase 1 Authentication. Le tunnel VPN doit utiliser la même méthode d’authentification pour ses deux extrémités. SHA1 est recommandé.

· MD5 — Message Digest Algorithm-5 (MD5) représente une fonction de hachage hexadécimal à 32 chiffres qui fournit une protection aux données contre les attaques malveillantes par le calcul de la somme de contrôle.

· SHA1 : fonction de hachage 160 bits plus sécurisée que MD5.

Étape 4. Saisissez la durée en secondes pendant laquelle le tunnel VPN reste actif dans le champ Durée de vie de l'association de sécurité de phase 1.

Étape 5. Cochez la case Perfect Forward Secrecy pour mieux protéger les clés. Cette option permet de générer une nouvelle clé si une clé est compromise. Les données chiffrées sont uniquement compromises par le biais de la clé compromise. Par conséquent, cela assure donc une communication plus sécurisée et authentifiée en sécurisant d’autres clés, même si une clé est compromise. Il s’agit d’une action recommandée, car elle fournit plus de sécurité.

Étape 6. Choisissez le groupe DH de phase 2 approprié dans la liste déroulante Groupe DH de phase 2. La phase 1 est utilisée pour établir le simplex, l’association de sécurité logique (SA) entre les deux extrémités du tunnel afin de prendre en charge la communication sécurisée de l’authentification. DH est un protocole d’échange de clés cryptographiques utilisé lors de la connexion de phase 1 pour partager une clé secrète afin d’authentifier la communication.

· Groupe 2 - 1 024 bits — Représente une clé de résistance supérieure et un groupe d'authentification plus sécurisé. Il faut du temps pour calculer les clés IKE.

Note: Comme aucune nouvelle clé n'est générée, vous n'avez pas besoin de configurer le groupe DH de phase 2 si vous décochez Perfect Forward Secrecy à l'étape 5.

Étape 7. Choisissez le chiffrement de phase 2 approprié pour chiffrer la clé dans la liste déroulante de chiffrement de phase 2. Les normes AES-128, AES-192 ou AES-256 sont recommandées. Le tunnel VPN doit utiliser la même méthode de chiffrement pour ses deux extrémités.

· DES — DES est une ancienne méthode de cryptage 56 bits qui n'est pas très sécurisée dans le monde d'aujourd'hui.

· 3DES - 3DES est une méthode de cryptage simple et 168 bits qui permet d'augmenter la taille de la clé en cryptant les données trois fois, ce qui fournit plus de sécurité que DES.

· AES-128 — AES est une méthode de cryptage 128 bits qui transforme le texte brut en texte chiffré à l'aide de répétitions de 10 cycles.

· AES-192 : méthode de cryptage 192 bits qui transforme le texte brut en texte chiffré en 12 cycles de répétitions.

· AES-256 — Méthode de cryptage 256 bits qui transforme le texte brut en texte chiffré à l'aide de répétitions de 14 cycles.

Étape 8. Choisissez la méthode d'authentification appropriée dans la liste déroulante Phase 2 Authentication. Le tunnel VPN doit utiliser la même méthode d’authentification pour ses deux extrémités.

· MD5 — MD5 représente une fonction de hachage hexadécimal à 32 chiffres qui protège les données contre les attaques malveillantes par le calcul de la somme de contrôle.

· SHA1 — Secure Hash Algorithm version 1 (SHA1) est une fonction de hachage de 160 bits plus sécurisée que MD5.

· Null : aucune méthode d'authentification n'est utilisée.

Étape 9. Saisissez la durée en secondes pendant laquelle le tunnel VPN reste actif dans le champ Durée de vie de l'association de sécurité de phase 2.

Étape 10. Activez la case à cocher Minimum Preshared Key Complexity (complexité minimale des clés prépartagées) si vous souhaitez activer la mesure de force pour la clé prépartagée.

Étape 11. Saisissez une clé précédemment partagée par les homologues IKE dans le champ Preshared Key. Jusqu'à 30 caractères hexadécimaux et caractères peuvent être utilisés comme clé prépartagée. Le tunnel VPN doit utiliser la même clé prépartagée pour ses deux extrémités.

Note: Il est fortement recommandé de modifier fréquemment la clé pré-partagée entre les homologues IKE afin que le VPN reste sécurisé.

La valeur de la clé pré-partagée indique la force de la clé pré-partagée par le biais de barres de couleurs. La couleur rouge indique une puissance faible, la couleur jaune, une puissance acceptable et le vert, une puissance élevée.

Étape 12. Cliquez sur Save pour enregistrer les paramètres.

Configuration IPSec pour IKE avec certificat

Disponible uniquement si IKE avec certificat a été sélectionné dans la liste déroulante Keying Mode de l'étape 3 de Add a New Tunnel.

Étape 1. Sélectionnez le groupe DH de phase 1 approprié dans la liste déroulante Groupe DH de phase 1. La phase 1 est utilisée pour établir l'association de sécurité logique simplex entre les deux extrémités du tunnel afin de prendre en charge la communication d'authentification sécurisée. DH est un protocole d’échange de clés cryptographiques utilisé lors de la connexion de phase 1 pour partager une clé secrète afin d’authentifier la communication.

· Groupe 1 - 768 bits — Représente la clé la plus puissante et le groupe d'authentification le plus sécurisé. Mais il faut plus de temps pour calculer les clés IKE. Cette option est préférable si le débit du réseau est élevé.

· Groupe 2 - 1 024 bits — Représente une clé de résistance supérieure et un groupe d'authentification plus sécurisé. Mais il faut un certain temps pour calculer les clés IKE.