Configuration d un Client Mobile IPSec (Netasq) avec un Firewall Netasq v9

Transcription

1 Configuration d un Client Mobile IPSec (Netasq) avec un Firewall Netasq v9 Le but de ce document est de proposer un mode opératoire pour permettre à un utilisateur nomade de se connecter à son réseau d entreprise via un accès VPN IPSec fourni par un Firewall Netasq. Nous utiliserons dans les exemples suivants un Firewall Netasq en version 9.0.6, ainsi qu un client mobile Netasq VPN Client Contenu Configuration d un Client Mobile IPSec (Netasq) avec un Firewall Netasq v ) Création d un compte utilisateur dans la base LDAP Netasq ) Création du Slot VPN sur le Firewall Netasq ) Configuration du Client Mobile IPSec Netasq ) Vérification de l authentification auprès du Netasq ) Création d un slot de filtrage Exer 2013 Page 1

2 1) Création d un compte utilisateur dans la base LDAP Netasq Les utilisateurs nomades se connectant au Firewall depuis des adresses IP dynamiques (Abonnement ADSL personnel, HotSpot Wi-Fi, UMTS/Edge, RTC ), il est impossible de distinguer un utilisateur nomade d un autre en se basant sur l IP Source. Pour contourner le problème, Netasq permet l utilisation de la clef pré partagée pour authentifier un utilisateur. Nous supposons que la base LDAP du firewall est initialisée. Créer un utilisateur depuis le menu UTILISATEURS > Utilisateurs : Ajouter un utilisateur Note : si l'utilisateur concerné existe déjà, cette étape n'est bien sût pas nécessaire. Veillez simplement à vérifier que le champ de sa fiche est bien renseigné (ce sera son identifiant dans son client IPsec) Sur cette fiche utilisateur, il faut impérativement remplir le champ « » (c est l qui servira pour faire le lien entre le compte LDAP et l authentifiant du VPN Nomade). Exer 2013 Page 2

3 Il faut ensuite autoriser l utilisateur à s authentifier via la base LDAP, et à utiliser le VPN IPsec : Dans Utilisateurs > Droits d accès > Politique d accès. Ajouter puis autoriser les utilisateurs (ou groupes d utilisateurs) puis autoriser les accès IPSEC. Ensuite, il faut déclarer cet utilisateur dans les correspondants nomades VPN IPsec et spécifier la clef prépartagée de cet utilisateur dans VPN > VPN IPsec > Identification Exer 2013 Page 3

4 Attention à bien faire correspondre l ID avec l spécifié lors de la création du compte dans la base LDAP, sinon celui-ci ne pourra pas s authentifier. L'ID ( ) et la clé prépartagée seront à renseigner coté client IPSec Exer 2013 Page 4

5 2) Création du Slot VPN sur le Firewall Netasq Ensuite, sur VPN > VPN IPsec > Politique de chiffrement Tunnels > Anonyme Utilisateurs Nomades, cliquer sur «Ajouter» pour ouvrir l assistant. Choisir un nouveau nom pour votre tunnel IPsec (exemple nomade_sso). Exer 2013 Page 5

6 Choisir clé prépartagée (PSK) pour l identification. Choisir le (ou les) correspondant(s) précédemment créé (exemple laurenta@exer.fr). Exer 2013 Page 6

7 Confirmer les informations résumées par l assistant de création en cliquant sur 'Terminer'. La suite de l'assistant permet de définir les ressources à rendre accessibles à l'utilisateur nomade par le VPN (par exemple Network_bridge). Exer 2013 Page 7

8 Choisir «Network_bridge» (ou Network_In selon la configuration) pour permettre l accès aux machines locales (selon les règles de filtrage en place) aux utilisateurs du tunnel VPN. Le profil VPN IPsec est créé, vérifier que le profil de chiffrement est bien «GoodEncryption». Exer 2013 Page 8

9 Dans l onglet «Correspondants» vérifier : le profil IKE est bien «GoodEncryption». l authentification se fait en clé prépartagée (PSK). le mode de négociation est «AGGRESSIVE». la passerelle locale est Firewall_out (interface sur laquelle se connecte le client depuis internet, il peut s agir de Firewall_Dialup lorsque l on utilise un lien PPPoE - Modem). DPD est sur haut Ne pas oublier d'activer la politique VPN : Exer 2013 Page 9

10 3) Configuration du Client Mobile IPSec Netasq Le client Netasq VPN est disponible sur Vous disposez de 30 jours pour l'activer avec un numéro de licence. Sur l interface du client Netasq VPN, il faut créer les deux phases de négociation, à savoir la phase 1 correspondant à la négociation IKE et la phase 2 correspondant à la négociation IPSec. Il faut tout d abord changer les valeurs par défaut des durées de vie de la session d Authentification et de Chiffrement dans configuration Paramètres et les mettre respectivement à Authentification (IKE) = et Chiffrement (IPSec)= Ces valeurs correspondent aux profils IKE et IPSEC par défaut sur l'utm Netasq (Good Encryption). On peut cocher l option «Bloquer les flux non chiffrés» pour n autoriser que les flux chiffrés via l interface du tunnel IPSec si besoin (pas d accès à Internet lorsque le tunnel est monté dans ce cas). Exer 2013 Page 10

11 Création de la phase 1 Durant cette phase, chaque extrémité doit s identifier et s authentifier auprès de l autre. On crée la phase 1 (Configuration VPN Nouvelle Phase 1) Sur cette première page, on retrouve : L adresse du routeur distant : ceci correspond à l adresse publique affectée à l interface externe Firewall_out. La clé Partagée avec l utilisateur que nous crée auparavant dans la base LDAP. Les paramètres IKE à savoir Chiffrement : AES 128, Authentification : SHA et le Groupe de clé : DH1024 (correspondants au profil IKE Good Encryption de l'utm Netasq) Il est important de respecter ces paramètres pour être en accord avec votre configuration VPN du Firewall. Exer 2013 Page 11

12 Dans l onglet P1 Avancé Il faut choisir Aggressive Mode, le NAT-T restant automatique. Dans la partie Local ID, il faut spécifier l identifiant que le client VPN envoie au Firewall pour s authentifier : dans notre cas, c est une adresse mail enregistrée dans la base LDAP. Le Remote ID est l identifiant que le client s attend à recevoir du Firewall distant, dans notre cas, c est l adresse publique de l interface Firewall_out. Note : le Mode Config et la redundant Gateway sont des options qui peuvent être paramétrées sur l'utm, mais ce n'est pas le cas par défaut. Exer 2013 Page 12

13 Création de la phase 2 On configure les éléments de la phase 2, dans laquelle on retrouve l adresse du réseau distant et les éléments du protocole ESP : Gateway > Nouvelle Phase 2. Le champ «Adresse du Client VPN», peut rester à si l on ne souhaite pas définir une adresse IP particulière pour le client nomade. Toutefois, il est possible de fixer cette valeur si vous souhaitez pouvoir communiquer avec le client nomade une fois le tunnel établi. En laissant , le nomade se présentera avec l IP configurée sur son poste lors de la connexion (et par conséquent est aléatoire). Si vous décidez de fixer une adresse au poste, il est alors indispensable de choisir une adresse qui n appartient à aucun plan d adressage du firewall (pour éviter des erreurs de routage). Le réseau distant : Vous allez renseigner l adresse du réseau local à l'utm qui sera connecté au tunnel. Ce paramètre doit être strictement identique à ce qui est configuré sur le firewall (Network_bridge dans l exemple). Idem pour les autres paramètres (AES 128 / SHA-1 / Tunnel / DH2), qui doivent correspondre au profil IPSEC par féfaut Good encryption de l'utm Netasq Exer 2013 Page 13

14 Il ne faut pas oublier de sauver la configuration (bouton Sauver) avant d ouvrir le Tunnel IPSec (clic droit sur Tunnel > Ouvre Tunnel ), et de bien configurer vos règles de Filtrage comme précisé dans l étape 5. Vous pouvez ensuite monter le tunnel en cliquant sur Tunnel > Ouvre tunnel, et visualiser si vous êtes connecté. En lançant la Console (Outils > Console), vous pouvez suivre comme ci-dessous les logs d une bonne négociation des phases 1 et 2. laurenta@exer.fr, responder id Exer 2013 Page 14

15 4) Vérification de l authentification auprès du Netasq Une fois le tunnel établi, on peut vérifier en se connectant sur Netasq Real-time Monitor que le tunnel est bien actif, et que l utilisateur est automatiquement authentifié (grâce à son permettant la liaison avec son compte LDAP). Ceci va nous permettre de créer des règles de filtrage très strictes, puisqu il nous est possible de distinguer un utilisateur nomade d un autre. Exer 2013 Page 15

16 5) Création d un slot de filtrage Netasq et Nomade IPSec Pour les connexions «nomades», le firewall ne crée pas de règles implicites. Aussi, il faut donc penser à laisser passer les flux en provenance de «Any» et à destination de l interface publique du Firewall, sur les ports 500/udp (isakmp), 4500/udp (isakmp_natt), ainsi que le protocole ESP (vpn_esp). Tout à l heure, lors de la configuration des extrémités de trafic VPN sur le Firewall, nous avons indiqué en destination le réseau local (Network_Bridge). Toutefois, sans règles de filtrage adéquates, aucun trafic ne sera autorisé à sortir du tunnel. Voici un exemple de filtrage permettant à l utilisateur Nomade «laurenta» de se connecter au réseau interne, via le tunnel IPSec, pour envoyer un ping sur une machine du réseau local. Notez l option source «via Tunnel IPSec» pour spécifier que les flux doivent provenir du tunnel. Notez également la syntaxe spécifique de la source qui indique que n importe quelle IP Source est acceptée, à condition que l utilisateur «laurenta» soit connecté sur le poste. Le Centre de Support Technique Exer Tel : +33 (0) Distributeur à Valeur ajoutée - Sécurité - Mobilité - Stockage EuraTechnologies / Bâtiment Cube - 35, rue Winston Churchill LILLE-LOMME Exer 2013 Page 16