Mobile VPN Access (MVA)

White Paper Mobile VPN Access (MVA) Une nouvelle solution de Business Mobility Le présent «White Paper» a été rédigé sur la base de paramètres actuellement connus. La solution technique peut faire l objet de modifications à courte échéance. Nous nous tenons à votre disposition pour toute question ou remarque sur ce «White Paper». Table des matières 1 Évolution du marché et des technologies... 2 1.1 Le problème des solutions proposées jusqu à présent... 2 1.2 Des débits toujours plus élevés... 2 1.3 Mobile VPN Access: une complexité réduite à des coûts connus à l avance... 3 2 Business Continuity avec le Mobile VPN Access... 3 2.1 Offre de base... 3 2.2 Les composants MVA en détail... 5 2.3 Options de sécurité... 5 3 Mobile VPN Access contre solution propre au client... 7 4 Résumé et perspectives... 8 5 Glossary... 8 Date 01.04.2010 Page 1/8

1 Évolution du marché et des technologies 1.1 Le problème des solutions proposées jusqu à présent Ces dernières années, les façons de travailler ont gagné en flexibilité et qui dit flexibilité dit popularité. La tendance est claire: on veut pouvoir travailler où et quand on veut. Cette souplesse est très prisée tant dans le domaine professionnel que privé. Elle permet de s acquitter, où que l on se trouve, des travaux en cours en fonction du moment de la journée ou de l ordre. Étant l un des plus grands employeurs de Suisse, Swisscom s y est préparé et permet aussi à ses clients de mettre en place des postes de travail mobiles grâce à son infrastructure réseau et informatique de premier ordre. La «Business Mobility» est beaucoup plus qu une formule à la mode. Une connectivité la moins restreinte possible associée à une transmission sûre des données constitue une vraie plus-value pour l utilisateur. Mais la lenteur des réseaux mobiles ou les coûts de transmission des données, jugés trop élevés, ont freiné la large diffusion de la communication mobile des données. 1.2 Des débits toujours plus élevés Les réseaux fixes sont de plus en plus gourmands en bande passante. Swisscom y fait face en renforçant massivement son réseau. FTTH (Fibre To The Home) permet d atteindre des bandes passantes de 100 Mbps et plus. La tendance qui s est donc amorcée sur le réseau fixe gagne les réseaux mobiles. Les volumes de données transportés sur les réseaux de téléphonie mobile de Swisscom ont triplé en un an, et la tendance demeure. Au plus tard au moment de l introduction de HSPA (High Speed Packet Access), plus rien ne fera obstacle à la communication mobile entre ordinateurs portables dispersés sur le réseau. Chez Swisscom, le HSPA est un élément essentiel du réseau UMTS. Il améliore considérablement la transmission mobile de données. HSPA se divise en un downstream rapide (c est-à-dire du réseau vers le client) et un upstream (du client vers le réseau). Le downstream est appelé HSDPA (High Speed Downlink Packet Access), et l upstream HSUPA (High Speed Uplink Packet Access). Selon les sites, HSDPA peut atteindre des vitesses de transmission de 14,4 Mbps et HSUPA d au maximum 1,4 Mbps. Installé sur certains sites, HSPA+ et ses 28 Mbps constituent la toute dernière innovation. A cela s ajoute l intégration d un logiciel plus performant dans le réseau de téléphonie mobile, ainsi que d un nouveau matériel dans les stations de base. Pour transférer les importants volumes de données dans le réseau, on équipe progressivement les sitesantennes de fibre optique. Les vitesses réalisables et le degré de développement du réseau sont d ores et déjà excellents chez Swisscom, surtout en comparaison avec nos concurrents. Swisscom couvre déjà aujourd hui 93 % de la population en HSPA et 99,8 % en EDGE (Enhanced Data Rates for the GSM Evolution). EDGE propose des débits de 100-200 kbps sur quasiment tout le territoire (au maximum 256 kbps). Les clients Swisscom n ont pas à revenir à des débits GPRS de 53,6 kbps au maximum en dehors de la couverture UMTS. Dans la pratique, le GPRS (General Packet Radio Service) satisfait cependant aux exigences minimum en matière de bandes passantes, n autorisant par exemple que le téléchargement des en-têtes des e-mails. Sur les réseaux GSM, EDGE propose plus, mais n est offert dans le monde que par environ un quart des exploitants GSM, dont Swisscom. Les opérateurs réseau sans EDGE et sans autre couverture réseau UMTS/HSPA n ont pas d autre choix que de recourir au GRPS, très lent et comparativement très vieillissant. Date 01.04.2010 Page 2/8

1.3 Mobile VPN Access: une complexité réduite à des coûts connus à l avance Ces technologies de réseau forment l épine dorsale du Mobile VPN Access (MVA). Cette offre réunit plusieurs avantages en un seul produit la meilleure couverture téléphonique de Suisse, un produit peu complexe, un accès aux données d entreprise également depuis l étranger, et des coûts budgétisables. L utilisation intégrée d un «Cisco VPN Client» dans l «Unlimited Data Manager» (UDM) simplifie nettement la commande. Le client travaille alors exclusivement avec l UDM, un logiciel de Swisscom installé sur l ordinateur portable et destiné à la commande automatique de la connexion avec des réseaux de données. L ordinateur d un collaborateur obtient ainsi un accès sécurisé aux données du réseau d entreprise via un «Virtual Private Network» (VPN) depuis n importe quel lieu. Pour ce faire, il établit avec l UDM une connexion directe soit via le réseau de téléphonie mobile, soit via l Internet avec le réseau d entreprise. L UDM démarre le Cisco VPN-Client, qui établit via Internet une connexion avec le VPN-Gateway de l entreprise. Une fois authentifié, le collaborateur a accès au réseau d entreprise en Suisse et hors de Suisse. La sauvegarde des données échangées via le réseau mobile est indépendante du type de réseau utilisé (p. ex. EDGE/GSM, HSPA/UMTS, WLAN ou Ethernet local). Le responsable informatique chez le client fixe les priorités parmi les types de réseaux par un simple «Drag&Drop» dans le menu Profil du réseau. L UDM autorise une connexion durable avec le réseau avec commutation automatique, l utilisateur n a pas à s en occuper un moyen efficace de réduire la complexité! Quelques manipulations suffisent donc pour travailler efficacement en dehors du bureau. Même l intégration de postes de travail mobiles au sein d une infrastructure informatique spécifique à une entreprise est couronnée de succès car les outils correspondants sont disponibles. L accès à l Extranet clients facilite l administration des utilisateurs mobiles. Divers outils de reporting viennent compléter les possibilités de l Extranet clients. Jusqu à présent, un dernier point critique était les coûts, difficiles à prévoir. La base de facturation était toujours un paramètre directement lié à l utilisation (durée d utilisation, volume de données transféré, etc.). Les factures des opérateurs réseau faisaient souvent bondir. Le MVA y oppose un tarif forfaitaire pour l échange mobile de données en Suisse (un tarif fixe ou flat rate) associé à un volume de données illimité. Une «Fair Use Policy» reconnue par le client permettra toutefois d éviter d abuser du tarif fixe accordé, par exemple sur la base de téléchargements de très gros fichiers (vidéos, TV mobile, distribution de logiciels, sauvegarde, etc.). 2 Business Continuity avec le Mobile VPN Access 2.1 Offre de base Le Mobile VPN Access (MVA) est une option du LAN-I-Service actuel qui relie plusieurs sites de clients sur l ensemble du territoire avec un haut degré de qualité et de sécurité. Le MVA complète l offre LAN-I éprouvée avec cette composante mobilité qui permet aux clients Swisscom de travailler en toute sécurité et en continu, partout et à toute heure du jour et de la nuit. Le MVA est une offre combinée pour le poste de travail mobile qui peut être combiné avec différentes composantes de sécurité. L accès au réseau d entreprise par le biais du réseau de téléphonie mobile Swisscom se fait exclusivement par des «Trusted Date 01.04.2010 Page 3/8

Networks». Les collaborateurs du service externe accèdent toujours à l Internet en passant par le pare-feu propre à l entreprise. De plus, toutes les données transitent codées sur le réseau de téléphonie mobile. Les personnes mal intentionnées n ont ainsi aucune chance d accéder à l Intranet depuis l extérieur. De lourds investissements dans de nouveaux dispositifs de sécurité ne sont pas nécessaires avec le MVA. Tous les utilisateurs du MVA sont administrés de façon centralisée par l Extranet clients de Swisscom, ce qui permet d enregistrer de nouveaux utilisateurs, de bloquer des accès existants ou d en commander de nouveaux. Un reporting en temps réel donne un aperçu rapide sur les sessions en cours et les données en cours de transfert, pour évaluer l intensité d utilisation. Le prix fixe par mois et par accès mobile est particulièrement intéressant et se laisse budgéter facilement. Généralement, tout autre investissement dans du matériel ou des logiciels est inutile, mais cela dépend de l infrastructure dont dispose le client. Un ordinateur portable classique doté de l UDM-Client est utilisé comme terminal chez le client. Ce sont soit des solutions intégrées («Embedded Notebooks» de différents constructeurs), soit des solutions de cartes. Pour ces dernières, il existe actuellement plusieurs variantes: la carte PCMCIA, la carte Express ou la clé USB, en fonction des préférences du client. Le super utilisateur (Super User) peut télécharger la toute nouvelle version de logiciel gratuitement depuis le serveur Web Swisscom. Infrastructure du Mobile VPN Access (MVA) Le MVA est une offre combinée qui permet aux entreprises de mettre en place facilement des accès mobiles avec des coûts de fonctionnement maîtrisables. La condition préalable pour l utiliser côté client est un raccordement LAN-I. Côté Swisscom, la configuration de base comprend un Gateway LAN-I et une infrastructure de serveur RADIUS. Grâce à la communication qui s effectue exclusivement sur des réseaux sécurisés, l intégrité des données et la sécurité de transmission sont garanties à tout moment même en cas d accès depuis l étranger (roaming). Date 01.04.2010 Page 4/8

2.2 Les composants MVA en détail Les composants suivants sont des éléments fixes du MVA: Matériel: la carte PCMCIA/carte Express/clé USB en tant que module enfichable sur l ordinateur portable existant est fournie par Swisscom sur demande. Si le client souhaite en revanche un Embedded Notebook avec module de communication intégré, il doit se procurer ce matériel luimême. Carte SIM: outre sa fonction normale d authentification, la carte SIM MVA a une fonction «Forcedon-Net». Celle-ci n autorise que les connexions à l infrastructure de réseau Swisscom en Suisse ainsi que, sur demande, à l étranger (avec roaming). Logiciel de connexion: l UDM établit la liaison entre l ordinateur portable et le réseau de l entreprise et permet entre autres de gérer facilement les profils. L administrateur peut télécharger l UDM et les fichiers de configuration requis avec un fichier INI MVA dédié via l Extranet clients. Le super utilisateur MVA côté client exécute lui-même tant le Software Rollout que les mises à jours disponibles. Logiciel VPN Client: l UDM accède au logiciel «Cisco VPN Client» via un «API». Ce logiciel permet d accéder au réseau d entreprise et garantit un cryptage Ipsec. Pour plus de sécurité, l utilisateur peut choisir l option «Strong Authentication» via Token (voir 2.3). Portail Extranet: le client peut administrer son MVA par le biais de l Extranet clients de Swisscom. Par le biais du portail Web Extranet, un super utilisateur formé en conséquence par Swisscom peut: consulter une liste de ses MSAP (Mobile Service Access Point) et utilisateurs avec les informations et l option choisie (p. ex. l utilisation de la «Strong Authentication», voir 2.3) et l exporter comme fichier au format PDF ou CSV; commander de nouveaux MSAP, bloquer ou résilier des MSAP existants; modifier des utilisateurs existants afin de les équiper d options supplémentaires ou supprimer des options p. ex. (options payantes uniquement sur ordre); consulter chaque jour des rapports nouvellement générés. Un rapport contient le nombre de MSAP et l option attribuée «Strong Authentication». Un autre rapport contient des informations sur l utilisation, le volume de données par MSAP, le temps en ligne par MSAP, le volume de données et le temps en ligne par utilisateur, ainsi que l adresse IP par session; affecter des utilisateurs à n importe quel groupe (p. ex. à un centre de coûts ou à un département). 2.3 Options de sécurité Option 1: «Strong Authentication» L utilisateur MVA s authentifie tout d abord par sa carte SIM et son PIN. Une autre authentification s ensuit au sein de l environnement RADIUS sur la base du nom d utilisateur et du mot de passe de l UDM Client. Pour plus de sécurité, l utilisateur peut accéder en option par le biais de la «Strong Date 01.04.2010 Page 5/8

Authentication» (One Time Password) à des applications internes à l entreprise. Un «Token matériel» (générateur de mots de passe) met à disposition un nouveau mot de passe toutes les 60 secondes qui sécurise l accès à l Intranet en plus des authentifications SIM et utilisateur. Pour la variante avec Token SMS, un Token est demandé par clic de souris via l UDM et envoyé au terminal (téléphone portable, ordinateur portable ou PDA). Le processus d enregistrement avec procédure de connexion entièrement automatisée ou manuelle, est ainsi défini par l administrateur IT. La variante «Token matériel» est toujours offerte et recommandée notamment en cas d utilisation du MVA à l étranger. Avantage de cette option: Sécurité à quasiment 100% (sécurité point à point); aucune infrastructure de sécurité ou savoir-faire nécessaire de la part du client. Inconvénient de cette option: Nécessite une étape d authentification supplémentaire pour se connecter à l Intranet. MVA User Mobile Access (HSPA/UMTS, WLAN, EDGE/GSM) Trusted Networks Corporate applications s E-Mail ID + Token / Strong Authentication Database Fixed username Hardware-/SMS-Token (New password for each login) Swisscom Infrastructure Plus de sécurité avec l option «Strong Authentication» Option 2: «Authentication on Customer Server» L option proposée en alternative «Authentication on Customer Server» permet aux clients d authentifier leurs utilisateurs sur leur propre serveur compatible avec RADIUS. Le login Windows (nom d utilisateur et mot de passe) peut alors servir à l authentification. En raison de la complexité qui en résulte, cette option nécessite toutefois le recours à un professionnel. Advantage de cette option: The Le client ne gère que sa propre base de données pour l administration des utilisateurs. Inconvénient de cette option: Le client engage des dépenses supplémentaires pour l extension de son infrastructure de sécurité. Date 01.04.2010 Page 6/8

3 Mobile VPN Access contre solution propre au client Expérience client Condition Mobile VPN Access Offre combinée pour l accès simple, illimité et sûr avec mon ordinateur portable au réseau d entreprise. 1 site déjà interconnecté (LAN-I) par Swisscom. Solution propre au client Solution propre, associant le plus souvent plusieurs composants et services de différents prestataires Le client doit s occuper de l interconnexion avec différents fournisseurs/partenaires Facilité Une commande, un contrat, un SLA Un interlocuteur pour l exploitation et le support de la solution globale Un reporting (Extranet clients) Sécurité d accès Accès sûr aux données de l entreprise via l infrastructure propre à Swisscom et via le tunnel IP-Sec Plusieurs commandes, contrats et SLA Plusieurs interlocuteurs pour l exploitation et le support des différents composants (travail de coordination plus important) Divers reportings doivent être achetés et harmonisés Accès aux données de l entreprise via l Internet public Solutions de sécurité supplémentaires nécessaires chez le client Security Policy Administration et reporting Infrastructure et coûts Aucune mise en danger de la «Security Policy» interne à l entreprise du fait d erreurs de configuration ou de manipulation. Avec le MVA, l utilisateur est directement rattaché au réseau d entreprise. L accès à Internet se fait toujours par le biais du réseau de l entreprise et le pare-feu propre à l entreprise. Utilisateurs et connexions sont gérés en temps réel via un Extranet clients basé sur le Web. Les données sur le reporting peuvent être consultées à tout moment. Aucun investissement ni savoir-faire nécessaires côté client. La solution globale est disponible immédiatement! Par des erreurs de configuration ou de manipulation, l utilisateur peut accéder directement à Internet et compromettre la «Security Policy» de son entreprise. Administration des utilisateurs par des interlocuteurs internes, les données sur le reporting sont issues de solutions développées par ses propres moyens ou achetées, et doivent être harmonisées entre elles. Le client doit mettre en place et exploiter sa propre infrastructure (infrastructure RADIUS, serveur, Gateway, etc.). Volume de données Aucune restriction de volume. Restreint en fonction des conditions du fournisseur. Date 01.04.2010 Page 7/8

4 Résumé et perspectives Le Mobile VPN Access répond aux besoins des clients en mobilité, sécurité et simplicité. Son prix est budgétisable et il offre un service adapté aux besoins individuels. Il est proposé comme option au LAN-I Service éprouvé. Des éléments de sécurité supplémentaires au choix complètent le MVA de façon optimale. L évolution des technologies se poursuit. La technologie GSM du début des années 1990 touche à sa fin. Vers 2015, les licences GSM s arrêteront en Suisse et les fréquences 900 MHz seront mises à la disposition de nouvelles applications. L UMTS aura déjà une décennie et de nombreuses améliorations derrière lui. De nouveaux codages radio avec 64 QAM au lieu de 16 (Quadrature Access Modulation) augmenteront considérablement le nombre de codes utilisables et donc celui des liens actifs. Avec les technologies multiantennes, plusieurs canaux de transmission seront disponibles par lien sans fil par conduite dirigée des signaux sur plusieurs voies (Multipath). Ce procédé appelé MIMO (Multiple Input, Multiple Output) augmente d une manière significative les vitesses de transmission et les capacités de réseaux. De plus, il réduit la charge des faisceaux étant donné que l on travaille avec une puissance d émission minimale. L intégration de Corporate Wireless LAN (CWLAN) permet de mieux approvisionner les immeubles de bureaux en services de téléphonie mobile. Pour finir, des femtocellules ce sont des petites cellules radio UMTS de couverture Indoor améliorent la réception à l intérieur des maisons ou dans les petits bureaux. Swisscom continuera d utiliser les nouvelles technologies non pas comme une fin en soi, mais pour le bénéfice de ses clients afin que l utilisation de sa vaste palette de services soit une expérience positive que l on soit sur le réseau fixe ou en déplacement. Le MVA est une nouvelle étape sur ce chemin. Plus d informations sur le MVA sur: http://www.swisscom.com/solutions/mobile-vpn-access.htm 5 Glossary ADSL Asymmetric Digital Subscriber Line MVA Mobile VPN Access API Application Programming Interface PIN Personal Identification Number EDGE GPRS GSM HSPA Enhanced Data Rates for the GSM Evolution General Packet Radio Service Global System for Mobile Communications High Speed Packet Access HSDPA High Speed Downlink Packet Access HSUPA High Speed Uplink Packet Access LAN-I MIMO Local Area Network Interconnect Multiple Input, Multiple Output PWLAN Public Wireless Local Area Network QAM SIM SLA VDSL VPN UDM UMTS Quadrature Access Modulation Subscriber Identity Module Service Level Agreement Very High Speed Digital Subscriber Line Virtual Private Network Unlimited Data Manager Universal Mobile Telecommunications System MSAP Mobile Service Access Point Date 01.04.2010 Page 8/8