Déploiement d iphone et d ipad Réseaux privés virtuels

Transcription

1 Déploiement d iphone et d ipad Réseaux privés virtuels L accès sécurisé aux réseaux privés d entreprise est possible sur iphone et ipad grâce aux protocoles standard établis en matière de réseaux privés virtuels (RPV). Les utilisateurs peuvent facilement se connecter aux systèmes d entreprise par l entremise du client de RPV d ios ou à l aide d une application tierce mise au point par Juniper Networks, Cisco, SonicWALL, Check Point, Aruba Networks et F5 Networks. Aussitôt l appareil déballé, ios prend en charge les protocoles Cisco IPSec, LTP/IPSec et PPTP. Si votre entreprise utilise l un de ces protocoles, vous n avez pas besoin de recourir à une configuration réseau additionnelle ou à des applications tierces pour connecter iphone ou ipad au RPV. Par ailleurs, ios prend en charge les protocoles SSL pour RPV, permettant ainsi l accès aux serveurs de réseaux privés virtuels SSL de Juniper Networks, Cisco, SonicWALL, Check Point, Aruba Networks et F5 Networks. Les utilisateurs doivent simplement lancer l App Store, y télécharger une application de client RPV développée par une de ces entreprises, et le tour est joué. Comme tous les autres protocoles pour RPV pris en charge par ios, le SSL pour RPV peut être configuré manuellement sur l appareil ou par l entremise du profil de configuration. ios prend en charge des technologies standard comme le protocole IPv6, les serveurs mandataires et la tunnellisation fractionnée, offrant ainsi une riche expérience RPV lors de la connexion aux réseaux d entreprise. Sans compter qu ios est compatible avec différentes méthodes d authentification, dont les mots de passe, les jetons à deux facteurs et les certificats numériques. Pour simplifier la connexion dans les environnements où l authentification avec certificat numérique est utilisée, ios est doté de la technologie VPN On Demand, qui démarre une session de RPV de façon dynamique lors de la connexion aux domaines indiqués. Méthodes d authentification et protocoles pris en charge RPV SSL Prend en charge l authentification de l utilisateur par mot de passe, jeton à deux facteurs ou certificat numérique. Cisco IPSec Prend en charge l authentification de l utilisateur par mot de passe ou jeton à deux facteurs ainsi que l authentification de l ordinateur par secret partagé ou certificat. LTP/IPSec Prend en charge l authentification de l utilisateur par mot de passe MS-CHAP v et par jeton à deux facteurs ainsi que l authentification de l ordinateur par secret partagé. PPTP Prend en charge l authentification de l utilisateur par mot de passe MS-CHAP v et par jeton à deux facteurs.

2 VPN On Demand ios prend en charge la technologie VPN On Demand pour les configurations utilisant l authentification par certificat. Cette technologie établit automatiquement une connexion avec le RPV lorsque l utilisateur accède aux domaines prédéfinis, lui permettant de se connecter aux réseaux privés virtuels de façon transparente. Cette fonctionnalité d ios ne nécessite aucune autre configuration du serveur. La configuration de la technologie VPN On Demand se fait par l entremise du profil de configuration ou peut être effectuée manuellement sur l appareil. Options de VPN On Demand : Toujours Établit une connexion à un RPV pour toutes les adresses associées à un domaine précis. Jamais N établit pas de connexion à un RPV pour les adresses qui correspondent au domaine spécifié, mais peut se servir du réseau si la connexion est déjà active. Au besoin Établit une connexion avec un RPV pour les adresses correspondant au domaine indiqué seulement si une recherche DNS a échoué. Configuration du RPV Une configuration minimale permet à ios de s intégrer à de nombreux réseaux RPV existants. Le meilleur moyen de vous préparer à un déploiement consiste à vérifier si ios prend en charge les protocoles et les méthodes d authentification du RPV actuel de votre entreprise. Nous vous recommandons de passer en revue le chemin d authentification menant à votre serveur d authentification afin de vous assurer que les protocoles standards pris en charge par ios sont activés dans le cadre de votre déploiement. Si vous prévoyez utiliser une authentification par certificat, assurez-vous que votre infrastructure à clé publique est configurée de façon à prendre en charge les certificats appareil et utilisateur avec le bon processus de distribution des clés. Si vous souhaitez configurer les réglages du serveur mandataire en fonction d une URL en particulier, placez un fichier PAC sur un serveur Web auquel il est possible d accéder en utilisant les réglages de RPV de base et assurez-vous qu il est hébergé avec le type MIME application/x-ns-proxy-autoconfig. Configuration du serveur mandataire Vous avez la possibilité de définir un serveur mandataire de RPV pour toutes les configurations. Si vous souhaitez configurer un seul serveur mandataire pour toutes les connexions, utilisez le réglage manuel en indiquant l adresse, le port et l authentification, si nécessaire. Si vous voulez fournir à l appareil un fichier de configuration automatique du serveur mandataire en utilisant un protocole PAC ou WPAD, utilisez la configuration automatique. Dans le cas des éléments PAC, vous devez indiquer l URL du fichier PAC. Si le protocole WPAD est employé, iphone et ipad recherchent les réglages appropriés dans le DHCP et le DNS.

3 3 Scénario de déploiement Cet exemple décrit un déploiement classique avec serveur/concentrateur RPV et serveur d authentification contrôlant l accès aux services réseau de l entreprise. Pare-feu Pare-feu 3a 3b Authentification Certificat ou jeton Serveur d authentification du RPV Authentification par certificat ou jeton Service de répertoire 1 4 Serveur/concentrateur RPV Réseau privé Internet public Serveur mandataire iphone et ipad demandent l accès aux services réseau. Le serveur/concentrateur RPV reçoit la demande et la transmet au serveur d authentification. Dans un environnement à deux facteurs, le serveur d authentification gère alors la génération synchronisée d un jeton clé avec le serveur de clés. Si une méthode d authentification par certificat est déployée, un certificat de clé publique doit être distribué avant l authentification. Si une méthode d authentification par mot de passe est déployée, l authentification passe à la validation de l utilisateur. Une fois l utilisateur authentifié, le serveur d authentification valide les politiques d utilisateur et de groupe. Une fois les politiques d utilisateur et de groupe validées, le serveur de RPV établit l accès par tunnel chiffré aux services réseau. Si un serveur mandataire est actif, iphone et ipad se connectent par l intermédiaire du serveur mandataire pour accéder aux données à l extérieur du pare-feu. 013 Apple Inc. Tous droits réservés. Apple, le logo Apple, iphone, ipad et Mac OS sont des marques de commerce d Apple Inc., déposées aux États-Unis et dans d autres pays. App Store est une marque de service d Apple Inc. Les autres produits et dénominations sociales mentionnés ici peuvent être des marques de commerce de leurs sociétés respectives. Les caractéristiques des produits peuvent changer sans préavis. Le présent document n est fourni qu à titre d information; Apple se dégage de toute responsabilité quant à son utilisation. Septembre 013

4 Déploiement d iphone et d ipad Wi-Fi Dès leur première utilisation, iphone et ipad peuvent se connecter de façon sécurisée aux réseaux Wi-Fi d entreprise ou d invité, de sorte que la connexion aux réseaux sans fil disponibles s effectue rapidement et facilement, que vous soyez sur le campus ou en déplacement. ios prend en charge les protocoles de réseau sans fil standard, y compris WPA entreprise, de sorte qu il est possible de configurer rapidement les réseaux sans fil d entreprise et d y accéder de façon sécurisée. Le protocole WPA entreprise emploie le chiffrement AES à 18 bits, une méthode de chiffrement par blocs éprouvée. Les utilisateurs sont ainsi assurés que leurs données sont bien protégées. Grâce à la prise en charge de la norme 80.1X, ios peut être intégré à une vaste gamme d environnements à authentification RADIUS. Les méthodes d authentification sans fil 80.1X prises en charge par iphone et ipad comprennent EAP-TLS, EAP-TTLS, EAP-FAST, EAP-SIM, PEAPv0, PEAPv1 et LEAP. Protocoles de sécurité sans fil WEP WPA personnel WPA entreprise WPA personnel WPA entreprise Méthodes d authentification 80.1X EAP-TLS EAP-TTLS EAP-FAST EAP-SIM PEAPv0 (EAP-MS-CHAP v) PEAPv1 (EAP-GTC) LEAP Les utilisateurs peuvent configurer iphone et ipad de manière à ce que la connexion aux réseaux Wi-Fi soit établie automatiquement. Il est possible d accéder rapidement aux réseaux Wi-Fi nécessitant des renseignements d identification ou d autres types de données sans avoir à ouvrir une session dans un autre navigateur à partir des réglages Wi-Fi ou par l intermédiaire d applications telles que Mail. Et la connectivité Wi-Fi permanente à faible puissance permet aux applications d utiliser les réseaux Wi-Fi pour acheminer des notifications Push. iphone et ipad prennent en charge les normes 80.11k et 80.11r pour utiliser les vastes réseaux sans fil d entreprise en itinérance*. La norme 80.11k permet à iphone et ipad d effectuer plus facilement les transitions à partir des stations de base par l entremise des rapports provenant de celles-ci, tandis que la norme 80.11r simplifie la méthode d authentification 80.1X lorsqu un appareil passe d un point d accès à un autre. Pour une configuration et un déploiement efficaces, configurez les réglages propres au réseau sans fil, à la sécurité, au serveur mandataire et à l authentification à l aide des profils de configuration.

5 5 Configuration du protocole WPA entreprise Vérifiez la compatibilité des appareils réseau et sélectionnez un type d authentification (type EAP) pris en charge par ios. Assurez-vous que la prise en charge de la norme 80.1X est activée sur le serveur d authentification et, s il y a lieu, installez un certificat de serveur et attribuez des autorisations d accès aux utilisateurs et aux groupes. Configurez les points d accès pour l authentification 80.1X et entrez les données correspondantes concernant le serveur RADIUS. Si vous avez l intention d utiliser l authentification par certificat, configurez votre infrastructure de clé publique de manière à prendre en charge les certificats appareil et utilisateur avec le processus de distribution de clé correspondant. Vérifiez la compatibilité du format du certificat et du serveur d authentification. ios prend en charge les certificats de site de types PKCS 1 (.cer,.crt,.der) et PKCS 1. Pour obtenir de plus amples renseignements sur les normes en matière de réseaux sans fil et sur l accès Wi-Fi protégé (WPA), consultez le

6 6 Scénario de déploiement WPA entreprise/80.1x Cet exemple décrit un déploiement de réseau sans fil sécurisé classique tirant parti de l authentification RADIUS. Serveur d authentification avec prise en charge de 80.1X (RADIUS) Pare-feu 3 Services de répertoire 1 4 Certificat ou mot de passe fondé sur le type d authentification (type EAP) Point d accès sans fil avec prise en charge de la norme 80.1X Services de réseau iphone et ipad demandent l accès au réseau. La tentative de connexion est effectuée en réponse à la sélection par l utilisateur d un réseau sans fil disponible ou est effectuée automatiquement lorsqu un réseau préalablement configuré est détecté. Une fois que le point d accès a reçu la demande, celle-ci est transmise au serveur RADIUS pour l authentification. Le serveur RADIUS valide le compte utilisateur au moyen du service de répertoire. Une fois l utilisateur authentifié, le point d accès donne accès au réseau selon les politiques et les autorisations définies par les instructions du serveur RADIUS. *iphone 4S, iphone 5 et ipod touch de cinquième génération prennent en charge les protocoles 80.11k et 80.11r. 013 Apple Inc. Tous droits réservés. Apple, le logo Apple, iphone, ipad et Mac OS sont des marques de commerce d Apple Inc., déposées aux États-Unis et dans d autres pays. Les autres produits et dénominations sociales mentionnés ici peuvent être des marques de commerce de leurs sociétés respectives. Les caractéristiques des produits peuvent changer sans préavis. Le présent document n est fourni qu à titre d information; Apple se dégage de toute responsabilité quant à son utilisation. Septembre 013