SODECAF - Projet 2 : VPN Tristan Toupy - Yann Laporte
Sommaire : Présentation du contexte Plan du réseau Mise en place d un VPN (Virtual Private Network) Tests
Présentation du contexte : Le contexte se situe dans l entreprise Sodecaf, une entreprise de comptabilité. Le MOA a demandé la mise en place d un VPN à la suite d une augmentation d effectif, la sécurisation du réseau du siège par le biais des VLANs ainsi que la mise en place d une borne Wi-fi permettant aux visiteurs du siège d accéder à Internet pour une utilisation basique. Dans cette partie nous allons traiter la partie VPN. Besoins : 1) Projet 1 : VLAN VLAN 1 : Service Informatique > Accès à tous les ordinateurs pour permettre de les administrer, les contrôler et les surveiller à distance. VLAN 2 : L espace du conseil des experts comptables > Communication vers les serveurs du siège. VLAN 3 : Collaborateurs de l entreprise > Communication avec les serveurs. VLAN 4 : Visiteurs > Accès via borne wi-fi pour accéder seulement à Internet.
2) Projet 2 : VPN Besoins : Le MOA souhaite une communication avec Montauban depuis Paris afin de tout stocker sur les serveurs du siège pour ne pas faire un trop gros investissement. Les utilisateurs de Paris auront les même droits que le VLAN 3. Les postes de Paris doivent être accessibles depuis le siège. Il y aura, à terme, une trentaine de postes connectés. Contraintes : Il y a une forte contrainte de sécurité pour la communication puisqu il y aura des données sensibles de l entreprise qui vont transiter entre les deux sites. Il faudra un cryptage des données afin de garantir la sécurité des communications. Pré-requis : Projet 1 : - Un routeur cisco afin de créer les VLAN Projet 2 : - 2 routeurs (Compatibles VPN) - Un accès Internet
Plan du réseau :
Procédure de Mise en place d un VPN 1 ) Configuration du VPN a) Routeur 1 (Cisco-Paris) cisco-paris(config)# interface tunnel 0 cisco-paris(config-if)# ip address 172.17.1.11 255.255.255.0 cisco-paris(config-if)# tunnel gre ip cisco-paris(config-if)# tunnel source fa0 cisco-paris(config-if)# tunnel destination 10.200.200.21 cisco-paris(config-if)# exit cisco-paris(config)# ip route 172.21.0.0 255.255.255.0 172.17.1.10 b) Routeur 2 (Cisco-Team21) cisco-paris(config)# interface tunnel 0 cisco-paris(config-if)# ip address 172.17.1.11 255.255.255.0 cisco-paris(config-if)# tunnel gre ip cisco-paris(config-if)# tunnel source fa0 cisco-paris(config-if)# tunnel destination 192.168.59.21 cisco-paris(config-if)# exit cisco-paris(config)# ip route 172.21.75.0 255.255.255.0 172.17.1.11
2 ) Configuration de la sécurité de la liaison VPN a) Création des paramètres de cryptage : cisco-paris(config)# crypto isakmp enable cisco-paris(config)# crypto isakmp policy 10 cisco-paris(config-isakmp)# authentication pre-share cisco-paris(config-isakmp)# encryption 3des cisco-paris(config-isakmp)# hash md5 cisco-paris(config-isakmp)# group 2 cisco-paris(config-isakmp)# lifetime 86400 cisco-paris(config-isakmp)# exit b) Configuration de la clé partagée : routeur 1 (Cisco-Paris) cisco-paris(config)# crypto isakmp key azerty123 address 172.17.1.11 routeur 2 (Cisco-Team21) cisco-paris(config)# crypto isakmp key azerty123 address 172.17.1.10
c) Configuration IPsec : a) Routeur Paris Router(config)#crypto ipsec transform-set ciscoparis esp-aes esp-sha-hmac Router(config)#crypto ipsec security-association lifetime seconds 86400 Router(config)#ip access-list extended parislist Router(config-ext-nacl)#permit ip 172.21.75.0 0.255.255.255 172.21.0.0 0.255.255.255 Router(config-ext-nacl)#exit Router(config)#crypto map parismap 100 ipsec-isakmp % NOTE: This new crypto map will remain disabled until a peer and a valid access list have been configured. Router(config-crypto-map)#match address parislist Router(config-crypto-map)#set peer 172.17.1.11 Router(config-crypto-map)#set pfs group2 Router(config-crypto-map)#set transform-set CiscoParis Router(config-crypto-map)#exit Router(config)#int fa 0/1 Router(config-if)#crypto map parismap a) Routeur Team21 Router(config)#crypto ipsec transform-set ciscoparis esp-aes esp-sha-hmac Router(config)#crypto ipsec security-association lifetime seconds 86400 Router(config)#ip access-list extended parislist Router(config-ext-nacl)#permit ip 172.21.0.0 0.255.255.255 172.21.75.0 0.255.255.255 Router(config-ext-nacl)#exit Router(config)#crypto map parismap 100 ipsec-isakmp % NOTE: This new crypto map will remain disabled until a peer and a valid access list have been configured. Router(config-crypto-map)#match address parislist Router(config-crypto-map)#set peer 172.17.1.10 Router(config-crypto-map)#set pfs group2 Router(config-crypto-map)#set transform-set CiscoParis Router(config-crypto-map)#exit Router(config)#int fa 0/1 Router(config-if)#crypto map parismap
Tests : Sur ce scrineshoute nous pouvons voir que l un des routeurs n apparait pas. Cela veut donc dire que le paquet passe bien par le tunnel.