Epreuve E6 Parcours de professionnalisation. BTS SIO option SISR

Transcription

1 Epreuve E6 Parcours de professionnalisation BTS SIO option SISR Apprenti : Période : Deuxième année d alternance du 01/09/2012 au 31/08/2014 Portefeuille de compétences Situation : Besoin : Mise en place d un VPN IPsec (CISCO) site à site. Environnement : Service : VPN Matériel : Cisco Tâches réalisées : Définition d un VPN Configuration d un VPN IPsec site à site Vérification de la configuration Conclusion Activités Résultats attendus/productions ou simulé Ou observé A1.3.3 Accompagnement de la mise en place d un nouveau service A Prise en compte du niveau de sécurité nécessaire à une infrastructure Mise en place IPsec Choix de solution IPsec en fonction du niveau de sécurité nécessaire Accès SSH aux routeurs Simulé Simulé A3.3.1Administration sur site ou à distance des éléments d un réseau, de serveurs A3.3.3, Gestion des identités et des habilitations Configuration transparente pour l utilisateur Simulé A4.1.9 Rédaction d une documentation technique Définition du VPN, Son fonctionnement Simulé A4.2.4 Mise à jour d une documentation technique Définition du VPN, Son fonctionnement A5.1.2 Recueil d informations sur une configuration et ses éléments Configuration SD1 & SD2 A5.2.2 Veille technologique Recherche d information sur le VPN VPN A5.2.3 Repérage des compléments de formation ou d autoformation A5.2.4, Étude d une technologie, d'un composant, d'un outil ou d'une méthode Etude de la technologie VPN A Tuteur : Signature : le

2 ACTIVITES Définition VPN est l acronyme de «Virtual Private Network» soit un réseau privé virtuel. Le VPN s'appuie sur un autre réseau (Internet par exemple). Il permet de faire transiter des informations, entre les différents membres de ce VPN, de manière sécurisée au travers un tunnel crypté. Le VPN est un concept, on ne peut pas généraliser les VPN. Pour schématiser, on peut considérer qu'une connexion VPN revient à se connecter en LAN en utilisant Internet. Son fonctionnement VPN repose sur un protocole de tunnelisation (tunneling), les protocoles SSL (Secure Sockets Layer) et maintenant TLS (Transport Layer Security) vont permettre aux données de passer d une extrémité du VPN à l autre de manière sécurisé en utilisant des algorithmes de cryptographie. Il existe plusieurs types de VPN fonctionnant sur différentes couches réseau, voici les VPN que nous pouvons mettre en place sur un serveur dédié ou à la maison : - PPTP : Facile à mettre en place, mais beaucoup d inconvénients liés à la lourdeur du protocole de transport GRE, le matériel réseau (routeur ADSL, wifi, doit être compatible avec le PPTP) - Ipsec : Plus efficace que le PPTP en termes de performance, mais aussi très contraignant au niveau de la mise en place - OpenVPN : La Rolls des VPN, il suffit de se prendre un peu la tête sur la mise en place, mais son utilisation est très souple. Choix de solution VPN Etant donné la sensibilité des informations qui circule entre les 2 sites distant, nous avons choisie de mettre en place la solution IPsec, ça configuration est certes lourde, mais elle a l avantage d être transparente coté client, et d être particulièrement sécurisé.

3 Configuration des routeurs SD1 & SD2 IPsec : Vérification de l IOS du routeur afin qu il supporte IKE Mise en place de la stratégie ISAKMP Configuration des clés pré-partagées : Configuration du transform set IPSec et des durées de vie : Configuration ACL du trafic VPN IPSec intéressant sur SD1 & SD2 : Définir la liste d accès ACL : Configurer un nom de host ou une adresse IP d'extrémité est requis Vérification de la configuration Conclusion Vérification de l IOS du routeur afin qu il supporte IKE : SD1#conf t SD1(config)#crypto isakmp enable SD1(config)# SD2#conf t SD2(config)#crypto isakmp enable SD2(config)# Mise en place de la stratégie ISAKMP sur SD1 & SD2 : SD1#conf t SD1(config)#crypto isakmp policy 10 SD1(config-isakmp)#authentication pre SD1(config-isakmp)#encryption aes 256 SD1(config-isakmp)#hash sha SD1(config-isakmp)#group 5 SD1(config-isakmp)#lifetime 3600 SD1(config-isakmp)#end SD1# SD2#conf t SD2(config)#crypto isakmp policy 10 SD2(config-isakmp)#authentication pre SD2(config-isakmp)#encryption aes 256 SD2(config-isakmp)#hash sha SD2(config-isakmp)#group 5 SD2(config-isakmp)#lifetime 3600 SD2(config-isakmp)#end SD2# Configuration des clés pré-partagées : SD1(config)#crypto isakmp key address SD2(config)#crypto isakmp key address

4 Configuration du transform set IPSec et des durées de vie : SD1(config)#crypto ipsec transform-set 50 esp-aes 256 esp-sha-hmac SD1(config)#crypto ipsec security-association lifetime seconds 1800 SD2(config)#crypto ipsec transform-set 50 esp-aes 256 esp-sha-hmac SD2(config)#crypto ipsec security-association lifetime seconds 1800 Configuration ACL du trafic VPN IPSec intéressant sur SD1 & SD2 : SD1(config)#access-list 101 permit ip SD2(config)#access-list 101 permit ip Appliquer une crypto map : Une crypto map associe le trafic intéressant qui correspond à la liste d'accès avec une extrémité et différents paramètres IKE et IPSec. Après la création de la crypto map, celle-ci peut être appliquée à une ou plusieurs interfaces. Les interfaces auxquelles elle est appliquée doit être une de celle faisant face à l'autre extrémité IPSec. SD1(config)#crypto map CMAP 10 ipsec-isakmp SD2(config)#crypto map CMAP 10 ipsec-isakmp Définir la liste d accès ACL : SD1(config-crypto-map)#match address 101 SD2(config-crypto-map)#match address 101 Configurer un nom de host ou une adresse IP d'extrémité est requis : SD1(config-crypto-map)#set peer SD1(config-crypto-map)#set pfs group5 SD1(config-crypto-map)#set transform-set 50 SD1(config-crypto-map)#set security-association lifetime seconds 900 SD2(config-crypto-map)#set peer SD2(config-crypto-map)#set pfs group5 SD2(config-crypto-map)#set transform-set 50 SD2(config-crypto-map)#set security-association lifetime seconds 900 Appliquer les crypto map aux interfaces appropriées sur SD1 & SD2 : SD1(config)#interface S0/2/0 SD1(config-if)#crypto map CMAP SD2(config)#interface S0/2/0 SD2(config-if)#crypto map CMAP

5 Vérification de la configuration #show run SD1 : crypto isakmp policy 10 encr aes 256 authentication pre-share group 5 lifetime 3600 crypto isakmp key address crypto ipsec security-association lifetime seconds 1800 crypto ipsec transform-set 50 esp-aes 256 esp-sha-hmac crypto map CMAP 10 ipsec-isakmp set peer set pfs group5 set security-association lifetime seconds 900 set transform-set 50 match address 101 SD2 : crypto isakmp policy 10 encr aes 256 authentication pre-share group 5 lifetime 3600 crypto isakmp key address crypto ipsec security-association lifetime seconds 1800 crypto ipsec transform-set 50 esp-aes 256 esp-sha-hmac crypto map CMAP 10 ipsec-isakmp set peer set pfs group5 set security-association lifetime seconds 900 set transform-set 50 match address 101 SD1#show crypto isakmp sa IPv4 Crypto ISAKMP SA dst src state conn-id slot status QM_IDLE ACTIVE SD2#show crypto isakmp sa IPv4 Crypto ISAKMP SA dst src state conn-id slot status QM_IDLE ACTIVE

6 CONCLUSION : Cette solution fait partie des plus efficaces, mais reste très contraignante à mettre en place. Points forts : - Très haut niveau de sécurité - Transparent pour l utilisateur Points faibles : - Déploiement complexe - Mobilité fortement réduite