Nebula VPN - Aperçu du réseau privé virtuel VPN

Le réseau privé virtuel, ou VPN en abrégé, est l'une des fonctionnalités les plus couramment utilisées sur nos passerelles de sécurité, et avec Nebula, vous pouvez configurer un VPN sur votre USG FLEX en quelques minutes !

Synopsis

Cet article couvrira tous les scénarios VPN courants, qu'il s'agisse d'un VPN d'accès distant ou d'un VPN site-à-site (y compris le VPN vers des pairs non Nebula). Pour accéder aux options de configuration, veuillez vous connecter au Nebula Control Center avec vos identifiants sur https://nebula.zyxel.com/ et naviguer vers le menu suivant selon le type de VPN que vous souhaitez créer :

USG FLEX > Configure > Site-to-Site VPN
USG FLEX > Configure > Remote access VPN

Table des matières

1. VPN d'accès distant : L2TP sur IPSec
2. VPN d'accès distant : client IPSec
3. VPN site-à-site : pairs Nebula
4. VPN site-à-site : pairs non-Nebula
5. VPN site-à-site : VPN Orchestrator et configurations avancées

VPN d'accès distant : L2TP sur IPSec

Pour configurer un VPN L2TP sur IPSec, veuillez naviguer vers le menu VPN d'accès distant et activer l'option L2TP sur IPSec VPN. Les seuls champs obligatoires pour que votre VPN fonctionne sont de remplir votre secret (clé pré-partagée) et le sous-réseau VPN client. Vous devez uniquement veiller à utiliser un sous-réseau qui n'est pas encore utilisé ailleurs. Vous pouvez vouloir changer les serveurs DNS ou définir l'authentification sur un serveur local, par exemple, mais cela est totalement optionnel. Le bouton "Par défaut" à côté de Politique ouvre un menu qui vous permet de définir les propositions IPSec. Les valeurs par défaut sont conçues pour être compatibles avec la plupart des systèmes d'exploitation.

Site-wide -> Configure -> Firewall -> Remote Access VPN

Après avoir enregistré votre configuration, vous pouvez profiter de la fonctionnalité de script de provisionnement VPN - remplissez une liste de destinataires et cliquez sur le bouton "Envoyer le mail". Le script de configuration avec les instructions d'utilisation sera envoyé aux adresses fournies.

Configuration client - mode script de provisionnement

Nebula Pro offre un moyen pratique de configurer les clients Windows ou macOS à l'aide d'un script de provisionnement VPN. Celui-ci peut être envoyé directement aux utilisateurs :

Une fois le mail envoyé, les utilisateurs recevront un mail de info@nebula.zyxel.com contenant les scripts de provisionnement :

Comme leur nom l'indique, le fichier .batfile est destiné à Windows, tandis que le fichier .mobileconfig est destiné à macOS. En raison des restrictions de sécurité, le fichier .batfile doit être renommé en .bat avant exécution. Un simple double-clic sur le script créera une connexion VPN sur votre système. Lors de la première connexion, l'utilisateur doit fournir ses identifiants. Ceux-ci seront enregistrés après la première connexion réussie.

Configuration client - mode manuel

Il n'est cependant pas difficile de configurer le VPN manuellement. Sous Windows, veuillez naviguer vers Paramètres > Réseau et Internet > VPN et cliquez sur Ajouter une connexion VPN.

Remplissez le formulaire selon les identifiants fournis par Nebula (vous pouvez utiliser soit une adresse IP soit un DDNS généré automatiquement par Nebula), et vous êtes prêt !

Voir plus d'informations dans cet article :

Nebula CC - Configurer L2TP pour votre pare-feu Nebula

VPN d'accès distant : client IPSec

De manière similaire à la configuration L2TP sur IPSec, la configuration du VPN IPSec se fait également dans le menu VPN d'accès distant et commence par la case à cocher serveur VPN IPSec. Les seuls champs obligatoires pour que votre VPN fonctionne sont de remplir un secret (clé pré-partagée) et le sous-réseau VPN client. La seule chose à considérer est d'utiliser un sous-réseau qui n'est pas encore utilisé ailleurs. Vous pouvez vouloir changer les serveurs DNS ou définir l'authentification sur un serveur local, par exemple, mais cela est optionnel. Le bouton "Par défaut" à côté de Politique ouvre un menu qui vous permet de définir les propositions IPSec. Les valeurs par défaut sont conçues pour offrir une haute sécurité à vos connexions IPSec. Vous pouvez également activer l'authentification à deux facteurs pour vos clients afin d'améliorer encore la sécurité via Google Authenticator.

Site-wide -> Configure -> Firewall -> Remote access VPN

Configuration client

La configuration du client est très simple. Tout d'abord, nous voulons créer la passerelle IPSec et remplir les détails dans l'onglet Authentification, comme dans l'exemple suivant, qui considère les valeurs cryptographiques par défaut :

Dans l'onglet Protocole, il est important de cocher la case "Mode Config" :

Nous sommes maintenant prêts à créer une connexion IPSec. Veuillez remplir l'adresse réseau cible, les paramètres ESP/PFS et vous êtes prêt à vous connecter. Vous pouvez également créer plusieurs réseaux et y accéder simultanément :

Voilà ! Vous êtes maintenant prêt à vous connecter à distance. N'oubliez pas que le client IPSec peut toujours exporter la configuration une fois terminée pour la déployer facilement sur plusieurs appareils.

Voir plus d'informations dans cet article :

Nebula [VPN] - Comment configurer un VPN IKEv2 IPsec

VPN site-à-site : pairs Nebula

Configurer un VPN site-à-site n'a jamais été aussi simple. Le menu VPN site-à-site commence par la configuration de l'interface WAN. Vous pouvez choisir une seule interface WAN comme interface sortante ou laisser l'option en automatique pour fournir une redondance. Dans ce cas, il vous sera demandé quelle interface doit être préférée.

Site-wide -> Configure -> Firewall -> Site-to-Site VPN

La configuration continue ensuite vers vos réseaux locaux, où les interfaces locales et les connexions VPN distantes sont disponibles pour participer à la connexion VPN site-à-site.

Dans la section suivante, vous pouvez configurer les paramètres avancés. Par exemple, vous pouvez sélectionner la zone VPN souhaitée pour votre réseau - les petits réseaux se contenteront d'une seule zone VPN par défaut. Les structures VPN plus grandes ou simplement plus élaborées peuvent nécessiter l'utilisation de plusieurs zones VPN. Plus d'informations concernant la zone VPN et Nebula VPN Orchestrator se trouvent dans le dernier chapitre.

L'option de traversée NAT vous permet de personnaliser votre adresse IP WAN pour votre VPN. Ceci est utile dans les situations où plusieurs IP sont routées vers votre port WAN et vous souhaitez utiliser une adresse spécifique pour le VPN.

VPN site-à-site : pairs non-Nebula

L'ajout d'un pair non-Nebula nécessite naturellement une configuration à la fois sur le Nebula Control Center et sur l'appareil autonome.

Côté Nebula, il suffit de remplir quelques informations concernant la connexion, notamment le nom qui identifiera l'appareil, son adresse IP publique, un sous-réseau privé distant auquel vous souhaitez vous connecter et la clé pré-partagée. Optionnellement, vous pouvez modifier la politique IPSec pour l’adapter à vos besoins et définir quels sites auront accès à ce routeur. Veuillez noter que la propriété du sous-réseau privé ne doit pas être une adresse réseau mais doit être une adresse réelle d'appareil utilisée pour les vérifications de connexion au format CIDR - par exemple, le serveur VPN distant lui-même.

Site-wide -> Configure -> Firewall -> Site-to-Site VPN

Important :
Les caractères spéciaux comme -, +, ^, *, [, ], \, ", ? ne sont pas autorisés.
Cela changera à l'avenir.

Dans ce cas, du côté du routeur distant, ATP200, nous devons d'abord créer une passerelle VPN. La configuration suivante vous permettra de réutiliser cette passerelle pour autant de pairs que vous le souhaitez. Avec la proposition IPSec par défaut, il suffit de changer le mode de négociation en "Aggressif" et la clé pré-partagée est nécessaire.

Après la configuration de la passerelle VPN, la connexion VPN nous permettra enfin d'établir la connexion entre les deux routeurs. Veuillez définir la politique locale et distante selon votre topologie réseau. Ces valeurs doivent correspondre à la configuration dans Nebula. Sinon, la négociation échouera.

Après avoir enregistré la connexion VPN, la connexion entre les routeurs devrait s'établir en quelques secondes.

Voir plus d'informations dans cet article :

Nebula VPN - Configurer un VPN site-à-site vers un pair non-Nebula

VPN site-à-site : VPN Orchestrator et configurations avancées

Le VPN Orchestrator de Nebula est un outil puissant qui vous permet de configurer des topologies VPN complexes avec facilité. La plateforme NCC permet une configuration abstraite sans configurer les connexions VPN individuelles sur chaque passerelle et de changer la topologie en fonction de vos besoins actuels en quelques clics seulement !

Nebula Topologie VPN expliquée

Nebula Orchestrator peut contenir plusieurs zones VPN. Chaque zone peut être soit une topologie site-à-site soit une topologie hub-and-spoke. Dans les topologies site-à-site, chaque passerelle de sécurité se connecte à toutes les autres passerelles au sein de la zone VPN. Dans les topologies hub-and-spoke, seule la passerelle désignée comme hub se connectera aux autres passerelles. Il est également possible d'avoir une ou plusieurs zones site-à-site et d'autres zones hub-and-spoke.

Chaque zone peut avoir jusqu'à cinq hubs, sauf si la zone contient un NSG - dans ce cas, un seul hub peut être présent dans une zone donnée. Si le hub a son interface sortante réglée sur "auto", toutes les connexions WAN établiront simultanément les connexions VPN vers les passerelles spoke.

Pour communiquer entre les zones, vous pouvez activer la communication entre zones pour la passerelle. Les zones site-à-site doivent avoir un leader de zone désigné pour que cela fonctionne. Les leaders de zone ou passerelles hub établiront des tunnels VPN vers d'autres zones et permettront la communication entre les passerelles AC.

Configuration

La configuration du VPN Orchestrator se trouve dans le menu suivant :

Organization-wide > VPN Orchestrator

La partie supérieure de l'écran affiche une carte avec une visualisation actuelle du réseau VPN - y compris les défauts dus à une perte de connexion. Cela inclut également les connexions à des pairs non-Nebula - ceux-ci peuvent être distingués par une ligne en pointillés.

Dans le menu Smart VPN, vous pouvez sélectionner la zone souhaitée à configurer ou en créer une nouvelle et sélectionner la topologie désirée.

Selon votre sélection, vous devrez peut-être désigner des hubs et des spokes dans le même menu. Mais dans tous les cas, vous pourrez sélectionner quelles passerelles se connecteront au VPN, quels sous-réseaux sur ces passerelles participeront aux connexions VPN et configurer le statut de communication entre zones de l'appareil.

Organization-wide -> Organization-wide manage -> VPN Orchastrator