Firewall Zyxel VPN - Configurer un VPN IPSec Site-à-Site sur un Firewall Zyxel en mode autonome

Ce guide vous expliquera comment configurer un VPN Site-à-Site (S2S) entre deux firewalls en utilisant IKEv2 IPSec. Nous couvrirons à la fois la configuration manuelle et l’utilisation d’un assistant intégré, ainsi que la manière de configurer le VPN pour gérer plusieurs sous-réseaux dans le même tunnel.

Si vous recherchez d’autres scénarios VPN, astuces et conseils, consultez les articles suivants :

Général :

• Provisionnement de la configuration VPN sur un firewall USG
• Firewall Zyxel [VPN] - Dépannage VPN Site-à-Site [mode autonome]

Un bureau souhaite se connecter en toute sécurité à son siège via Internet. Les deux bureaux disposent d’un USG / ZyWall / ATP / USG FLEX pour accéder à Internet.

Note : Avant de commencer la configuration du VPN, assurez-vous que les deux sites n’ont pas les mêmes sous-réseaux. Configurer un VPN entre des sites ayant le même sous-réseau des deux côtés est techniquement possible, mais cela n’est pas simple et peut entraîner des complications dues à des adresses IP qui se chevauchent. Lorsque les deux sites ont le même sous-réseau, cela peut provoquer des conflits de routage car le VPN ne saura pas vers quel côté envoyer le trafic lorsqu’il verra une adresse IP existant dans les deux emplacements.

Méthode avec l’assistant pour configurer le VPN

La méthode la plus simple et la plus pratique pour établir une connexion Site-à-Site est d’utiliser l’assistant intégré. Dans le premier exemple de cet article, nous vous guiderons à travers ce processus. De plus, si vous avez rencontré des problèmes lors de la configuration manuelle d’un VPN, vous pouvez utiliser l’assistant pour configurer le VPN et comparer les paramètres afin de faciliter le dépannage.

Paramètres du site siège (Assistant)

• Connectez-vous à l’interface Web GUI de votre firewall du site siège et allez dans la section Assistant de configuration rapide dans le menu de gauche.
• Cliquez sur « Configuration VPN »

Vous pouvez choisir entre Express (VPN avec valeurs par défaut) ou Avancé (configuration manuelle de la cryptographie, etc.). Pour vous donner un exemple dans cet article, nous avons choisi l’option « Avancé ».

• Nous recommandons fortement d’utiliser IKEv2 au lieu d’IKEv1 pour améliorer la sécurité, accélérer l’établissement de la connexion, la stabilité, supporter la mobilité et augmenter l’efficacité dans la gestion des changements réseau.
• Donnez un nom compréhensible et choisissez VPN Site-à-Site.
• Cliquez sur « Suivant »

Paramètres Phase 1

• À l’étape suivante, saisissez « Passerelle sécurisée ». Il s’agit de l’adresse WAN de votre second firewall ; dans ce cas, c’est l’adresse IP du site secondaire. (Lorsque vous commencerez à configurer le second firewall, vous devrez renseigner l’adresse IP WAN de ce firewall.)
• Définissez les propositions de phase 1 comme souhaité. Pour des raisons de sécurité, choisissez un mot de passe fort et des propositions avec un bon chiffrement/authentification, telles que AES256 pour le chiffrement, SHA512 pour l’authentification, et DH14 pour le groupe de clés.

Paramètres Phase 2

• Assurez-vous que les paramètres de phase 2 sont identiques à ceux de la phase 1 (c’est-à-dire AES256, SHA512).
• Politique locale et politique distante – Les politiques locale et distante définissent quel trafic est chiffré dans un VPN site-à-site, garantissant une communication sécurisée, efficace et correctement routée entre les réseaux.
  
  Note : Veuillez d’abord vérifier que l’adresse IP du sous-réseau distant n’existe pas déjà dans le sous-réseau local afin d’éviter une double configuration d’adresse IP. Lorsque le sous-réseau distant est similaire à un sous-réseau local, vous ne pourrez atteindre que le réseau local.

• Une fois toutes les données correctement saisies, cliquez sur « Suivant », vérifiez à nouveau tous les paramètres, cliquez sur « Enregistrer » et passez à la configuration du second firewall.

Paramètres du site secondaire (Assistant)

Vous devez suivre exactement la même procédure pour le firewall du second bureau. La principale différence réside uniquement dans certains paramètres.

• Adresse de la passerelle doit être spécifiée comme l’adresse WAN de l’appareil du site siège
• Politique locale et politique distante seront également différentes. Exemple ci-dessous :
  Site siège
  Politique locale : 192.168.40.1
  Politique distante : 192.168.70.1
  Site secondaire :
  Politique locale : 192.168.70.1
  Politique distante : 192.168.40.1

• Si tout a été configuré correctement et qu’il n’y a pas de problème avec la connexion, les autres paramètres ou la configuration, une connexion VPN sera établie automatiquement immédiatement après l’enregistrement des paramètres.

Méthode manuelle pour configurer le VPN - Passerelle VPN - Paramètres manuels du site siège

• Connectez-vous à l’interface Web GUI de votre firewall du site siège

Allez dans Configuration -> VPN -> Passerelle VPN -> Ajouter

• Cochez la case Activer
• Donnez un nom clair
• Sélectionnez la version IKE

Nous recommandons fortement d’utiliser IKEv2 au lieu d’IKEv1 pour améliorer la sécurité, accélérer l’établissement de la connexion, la stabilité, supporter la mobilité et augmenter l’efficacité dans la gestion des changements réseau.

• Mon adresse (interface) - définit votre adresse IP WAN.
• Adresse de la passerelle distante - Il s’agit de l’adresse WAN de votre second firewall ; dans ce cas, c’est l’adresse IP du site secondaire. (Lorsque vous commencerez à configurer le second firewall, vous devrez renseigner l’adresse IP WAN de ce firewall.)
• Clé pré-partagée - Créez un mot de passe fort (vous utiliserez également cette clé sur l’appareil distant).
• Paramètres Phase 1 - Définissez les propositions de phase 1 comme souhaité. Pour des raisons de sécurité, choisissez un mot de passe fort et des propositions avec un bon chiffrement/authentification, telles que AES256 pour le chiffrement, SHA512 pour l’authentification, et DH14 pour le groupe de clés. 

Tunnel VPN - Paramètres manuels du site siège

Configuration > VPN > IPSec VPN > Connexion VPN > Ajouter

La première chose à faire est de créer un objet pour la « Politique distante » en cliquant sur « Créer un nouvel objet » et en sélectionnant « Adresse IPV4 ».

• Nom - entrez un nom clair
• Type d’adresse - « SOUS-RÉSEAU »
• Réseau - l’adresse réseau locale du site distant
• Masque réseau - masque de sous-réseau du site distant
• Puis cliquez sur « OK »

Maintenant, nous pouvons continuer à remplir les autres champs.

• Cochez la case Activer
• Donnez un nom clair
• Sélectionnez VPN Site-à-Site
• Passerelle VPN - Sélectionnez la passerelle VPN créée à l’étape précédente
• Politique locale et politique distante seront différentes.
• Paramètres Phase 2 - Définissez les propositions de phase 2 comme souhaité. Pour des raisons de sécurité, choisissez un mot de passe fort et des propositions avec un bon chiffrement/authentification, telles que AES256 pour le chiffrement, SHA512 pour l’authentification, et DH14 pour le groupe de clés. 
• Cliquez sur « Ok »

Nous pouvons maintenant commencer à configurer le site secondaire. Pour ce faire, suivez les mêmes étapes que pour le site siège, mais avec quelques modifications des données.

Passerelle VPN - Paramètres manuels du site secondaire

Configuration > VPN > IPSec VPN > Passerelle VPN

Répétez les étapes du site siège pour configurer la passerelle VPN

• Lors de la configuration de la passerelle VPN sur le firewall du site siège, vous avez spécifié l’IP WAN de votre site secondaire dans le champ "Adresse de la passerelle distante Adresse statique". Maintenant, lors de la configuration du site secondaire, vous devez spécifier l’IP WAN de votre site siège dans le champ "Adresse de la passerelle distante Adresse statique".
• Clé pré-partagée - doit être la même pour les deux sites.

Tunnel VPN - Paramètres manuels du site secondaire

Configuration > VPN > IPSec VPN > Connexion VPN

Répétez les étapes du site siège pour configurer le tunnel VPN

• À quelques différences près, lorsque vous avez configuré le site siège, vous avez spécifié le réseau du site secondaire dans la Politique distante. Maintenant, lors de la configuration du site secondaire, vous devez spécifier le réseau du site siège dans le champ Politique distante.

Cochez l’option "Permanent" pour établir le tunnel VPN et se connecter automatiquement.

Tester le résultat

• Connectez le tunnel VPN manuellement la première fois. Par la suite, il doit rescanner la connectivité et se reconnecter automatiquement.
• Vous pouvez voir que le tunnel VPN est connecté lorsque le symbole de la terre est vert

Note : Veuillez vérifier vos règles de firewall pour vous assurer que les règles par défaut IPSec-to-Device et IPSec-to-Any existent.
Sinon, le trafic entre les tunnels pourrait être bloqué.

Limitation - Utilisation de plusieurs sous-réseaux

Sur les firewalls Zyxel, il existe une limitation où vous ne pouvez pas sélectionner plusieurs sous-réseaux dans un tunnel VPN. La politique locale (sous-réseau) et la politique distante (sous-réseau) ne peuvent être configurées qu’avec un seul sous-réseau chacune.

Configuration -> VPN -> IPSec VPN -> Connexion VPN -> Politique

Pour contourner ce problème, vous pouvez configurer une route de politique pour router manuellement d’autres sous-réseaux dans le tunnel.

Créez cette route de politique :

Note ! Il pourrait être nécessaire de router les paquets de réponse à travers le tunnel sur le site distant.

Dépannage

Problèmes courants et solutions :

• Clé pré-partagée incorrecte : Vérifiez la clé pré-partagée sur les deux appareils.
• Configuration de sous-réseaux incorrecte : Assurez-vous que les sous-réseaux locaux et distants sont correctement configurés dans les paramètres VPN.
• Paramètres Phase 1 et Phase 2 :

Paramètres clés à vérifier pour s’assurer qu’ils sont identiques sur les deux sites

• Méthode d’authentification : Généralement, une clé pré-partagée est utilisée.
• Algorithme de chiffrement : Options courantes incluent AES (128/256 bits), 3DES.
• Algorithme de hachage : Typiquement SHA-256, SHA-512 ou SHA-1.
• Groupe DH (Diffie-Hellman) : Assure un échange de clés sécurisé (par exemple, Groupe 2, Groupe 14).
• Durée de vie : 

Pour des instructions plus détaillées sur le dépannage, consultez le lien :

Firewall Zyxel [VPN] - Dépannage VPN Site-à-Site [mode autonome]