VPN IKEv2 avec clé prépartagée sur les appareils mobiles (au lieu de L2TP)

Cet article vous montrera comment connecter des téléphones mobiles (Android et iPhone (iOS)) avec IKEv2 PSK (clé pré-partagée) au lieu de L2TP. En effet, à partir d'Android 12, la prise en charge de L2TP n'est plus disponible. Dans cet article, nous verrons également comment configurer IKEv2 PSK pour les utilisateurs iOS.

Tout d'abord, nous devons configurer le tunnel sur notre pare-feu ; dans ce cas, le pare-feu est un ATP200 avec fw 5.31.

Pare-feu : Configuration de la passerelle VPN (Phase 1)

1. Connectez-vous à votre appareil à l'aide de l'interface graphique
2. Allez dans "Configuration > VPN > IPSec VPN > VPN Gateway" (Configuration > VPN > IPSec VPN > VPN Gateway)

1. Cliquez sur "Add" (Ajouter)
2. Cliquez sur "Activer"
3. Donnez-lui un nom
4. Choisissez IKEv2
5. Choisissez votre interface WAN
6. Réglez l'adresse de la passerelle homologue sur "dynamique".
7. Définissez une clé pré-partagée "PSK".

Dans "Phase 1 Settings", nous devons modifier les paramètres avancés

1. Ajouter le chiffrement et l'authentification comme indiqué dans l'image ci-dessous
2. Ajouter le groupe de clés conformément à l'image ci-dessous
3. Désactiver l'authentification à deux facteurs
4. Cliquez sur "OK"

Note : Pour IOS 17, un groupe de clés est utilisé : DH19 doit être utilisé

Firewall : Configuration de la connexion VPN (Phase 2)

Allez dans l'onglet "Connexion VPN" et cliquez sur "Ajouter".

1. Cliquez sur "Ajouter"
2. Cliquez sur "Enable" (Activer)
3. Donnez-lui un nom
4. Choisissez "Remote Access (Server Role)" (Accès à distance (rôle de serveur))
5. Choisissez la passerelle que nous avons créée à l'étape précédente
6. Choisissez "Local Policy", le sous-réseau auquel vous voulez vous connecter avec le VPN

Enable Configuration Payload - Cette section est obligatoire pour iOS. Dans le cas de l'utilisation d'Android, cette section est facultative.

Dans "Phase 2 Settings", nous devons modifier les paramètres avancés.

1. Ajouter le chiffrement et l'authentification conformément à l'image ci-dessous
2. Ajouter le groupe de clés conformément à l'image ci-dessous
3. Cliquez sur "OK"

Remarque ! Vous pouvez également utiliser DH2 et DH14 pour les paramètres de la "Phase 1" et de la "Phase 2" si d'autres appareils (tels que les anciens téléphones Android) ne peuvent pas se connecter.

Mobile : Configurer sur Android

1. Paramètres
2. Entrez dans le VPN et allez dans les paramètres VPN
3. Ajouter une nouvelle connexion VPN
4. Tapez le nom
5. Choisissez IKEv2/IPSec PSK
6. Entrez l'IP ou le FQDN de l'interface WAN de votre pare-feu
7. Entrez l'identifiant IPSec (si vous n'avez rien changé sur le pare-feu, laissez 0.0.0.0)
8. Saisissez la clé prépartagée (la même que celle que vous avez saisie sur le pare-feu).
9. Cliquez sur "Enregistrer"
10. Sélectionnez le VPN nouvellement créé et cliquez sur "Connecter".

Dans certaines versions de VPN, dans les paramètres avancés, le champ "Serveur DNS" est disponible. Vous pouvez laisser ce champ vide si vous n'avez rien changé sur le Firewall dans le champ "Contenu", comme dans la figure ci-dessous. Sinon, vous devez spécifier la même valeur dans le champ "Serveur DNS" que dans le champ "Contenu".

En cas de connexion réussie, le statut VPN sur votre mobile sera "Connecté".

Mobile : Configurer sur iOS

Notes : Depuis la sortie d'iOS 18, des utilisateurs ont signalé des problèmes de connexion à des VPN distants configurés via des fichiers .mobileconfig. La connexion VPN ne parvient pas à s'établir, ce qui nécessite la création manuelle d'un profil comme alternative.

Solution :

Modifiez le fichier .mobileconfig :
Ouvrez le fichier .mobileconfig à l'aide d'un éditeur de texte tel que le Bloc-notes.

Localisez les lignes suivantes :

LocalIdentifier

Modifiez les lignes pour inclure un identifiant spécifique :

Enregistrez les modifications et déployez le fichier .mobileconfig mis à jour sur votre appareil iOS.

1. Paramètres
2. Entrez dans le VPN et allez dans les paramètres VPN
3. Ajouter une nouvelle connexion VPN
4. Choisissez IKEv2
5. Tapez le nom
6. Entrez l'IP ou le FQDN de l'interface WAN de votre pare-feu.
7. Entrez l'ID distant (si vous n'avez rien changé sur le pare-feu, laissez 0.0.0.0)
8. Choisissez l'authentification de l'utilisateur "Aucun".
9. Désactiver la "certification de l'utilisateur".
10. Saisissez la clé prépartagée (la même que celle que vous avez saisie sur le pare-feu).
11. Cliquez sur "Terminé"
12. Sélectionnez le VPN nouvellement créé et cliquez sur "Connecter".

Vous pouvez vérifier l'état de la connexion dans les paramètres du pare-feu (sous Configuration -> VPN -> VPN IPSec, vous verrez alors le symbole vert s'il est connecté).

Vous pouvez également voir la connectivité sous Monitor -> Logs.