BTS SIO
Services Informatiques aux
Organisations		
	Option	SISR		
	Session	2014		

Hassan GHANDOUR                                    Activité professionnelle N°             2

NATURE DE L'ACTIVITE	Mise en place d’un VPN	
Contexte :	Une société de climatisation VIFRELEC à 2 sites, l’un à Montargis et l’autre à
Pithiviers. Hélas, les 2 sites n’ont aucune liaison pour communiquer.
Pour que la succursale de Pithiviers accède aux informations du siège.	
Objectifs :	Créer une liaison permanente via un VPN	

SOLUTIONS ENVISAGEABLES

Le VPN va aussi nous permettre de relier deux sites, par exemple, une grande entreprise a deux locaux situés à deux endroits bien distinct, à l’instar des lignes dédiées où l’on devait passer par un opérateur ou encore au lieu de mettre en place des liens physiques entre ces deux sites (fibre optique…).

DESCRIPTION DE LA SOLUTION RETENUE
Conditions initiales     Il existe plusieurs types de VPN fonctionnant sur différentes couches réseaux, voici les VPN que nous pouvons mettre en place sur un serveur dédié ou à la maison :

· 	PPTP: Facile à mettre en place, mais beaucoup d'inconvénients liés à la lourdeur du protocole de transport GRE, le matériel réseau (routeur ADSL, wifi, doit être compatible avec le PPTP).
· 	L2TP signifie protocole de tunnellisation de niveau 2. Il s'agit d'un protocole réseau utilisé pour créer des réseaux privés virtuels (VPN), le plus souvent entre un opérateur de collecte de trafic (dégroupeur
ADSL ou opérateur de téléphonie pour les accès RTC) et les fournisseurs d'accès à Internet.
· 	IPsec: Plus efficace que le PPTP en termes de performances, mais aussi très contraignant au niveau de la mise en place.
· 	SSTP est un type de tunnel VPN qui fournit un mécanisme pour transporter PPP ou L2TP à travers un canal SSL 3.0. SSL fournit une sécurité au niveau transport avec une négociation de clés, le cryptage, et le contrôle de l'intégrité des données. L'utilisation de SSL sur le port TCP 443 (HTTPS) permet à SSTP de passer facilement à travers les firewalls et les serveurs Proxy.
· 	OpenVPN: La Rolls des VPN, il suffit de se prendre un peu la tête sur la mise en place, mais son utilisation est très souple et il fonctionne même à travers les proxies.

Conditions finales	OpenVPN . On va passer par internet pour relier ces deux sites.
On parle alors de VPN Site-To-Site.
Ainsi, on aura accès aux ressources de notre entreprise (fichiers partagés,
intranet, extranet…) comme si on y était.

Remettre un schéma technique au client	
Outils utilisés	DynDNS	

CONDITIONS DE REALISATIONS	
Matériels	2 serveurs Windows 2003/2008	
Logiciels	OpenVpn 2.1	
Durée	1 jour	
Contraintes	Aller sur place, pour y placer les logiciels et configurer les droits administrateur ; Vérifier le matériel du Fournisseur d’Accès Internet et leurs adresses IP.
Des certifications obligatoires pour la sécurité.
OpenVPN n’est pas compatible avec IPSEC.	

COMPETENCES MISE EN OEUVRE POUR CETTE ACTIVITE PROFESSIONNELLE

A1.3.3
A3.1.3
A3.3.1
A3.3.3
A4.1.4
A4.1.9
A4.2.4
A5.1.2
A5.2.2
A5.2.3
A5.2.4

Accompagnement de la mise en place d’un nouveau service
Prise en compte du niveau de sécurité nécessaire à une infrastructure Administration sur site ou à distance des éléments d’un réseau, de serveurs… Gestion des identités et des habilitations
Définition des caractéristiques  d’une solution applicative
Rédaction d’une documentation technique
Mise à jour d’une documentation technique
Recueil d’informations sur une configuration et ses éléments
Veille technologique
Repérage des compléments de formation ou d’auto-formation
Etude d’une technologie, d’un composant, d’un outil ou d’une méthode

DEROULEMENTS DE L'ACTIVITES

Définition

VPN est l’acronyme de « Virtual Private Network » soit un réseau privé virtuel. Le VPN s'appuie sur un autre réseau (Internet par exemple). Il permet de faire transiter des informations, entre les différents membres de ce VPN, de manière sécurisée au travers un tunnel crypté.
Le VPN est un concept, on ne peut pas généraliser les VPN. Pour schématiser, on peut considérer qu'une connexion VPN revient à se connecter en LAN en utilisant Internet.

Son fonctionnement

VPN repose sur un protocole de tunnelisation (tunneling), les protocoles SSL (Secure Sockets Layer) et maintenant TLS (Transport Layer Security) vont permettre aux données de passer d’une extrémité du VPN à l’autre de manière sécurisé en utilisant des algorithmes de cryptographie.

Je dois proposer des clefs aux utilisateurs de chaque ordinateur pour inter communiquer et réaliser le réseau. Les données échangées seront vérifiées en cours de transfert afin d'assurer des échanges sûrs.

Souvent ces les pare feu qui filtrent les SA : services, modes, algorithmes et clés mais par fois les routeurs.

Installation du client OpenVPN

Lancer l’exécutable « openvpn-2.*_rc**-install »

Sous Windows

Attention: Démarrez TOUJOURS OpenVPN en mode administrateur (Sous Windows 7: clic droit sur l’icône, puis "Exécuter en tant qu'administrateur"). Pour que cela soit automatique faites clic droit sur l’icône, puis "Propriétés" puis "compatibilité" et cochez "Exécutez ce programme en tant qu'administrateur".

Puis suivre les écrans

Sélectionner les éléments suivant : comme TAP-WIN32 Virtual Ethernet Adapter et Add OpenVPN to patch

Le répertoire d’installation par défaut est C:\program Files \Open VPN

La partie Configuration
Vous trouvez les logiciels dans C: \Program files

· 	OpenVPN configuration file directory -> c'est ici que l'on placera nos fichiers de configuration et nos certificats
·     OpenVPN HOWTO -> pour ceux qui voudraient en savoir beaucoup
·     OpenVPN Sample Configuration Files -> Et plus particulièrement client.ovpn et sample.ovpn
qui expliquent le rôle des différents paramètres de configuration.

Je place le répertoire VPN Vifrelec.ovpn qui vous a été fourni dans le répertoire config d’openvpn

Placer maintenant le dossier de l’utilisateur qui contient les clés d’identification, qui vous a été fournies, dans
ce répertoire.

Détail du fichier VPN Vifrelec.opvn

Le fichier « dh1024.pem » joue les paramètres de Diffie-Hellman et définie coder sous 1024 bits.

On va dans le répertoire Easy-rsa (Générateur de CA CRT KEY) On génère le certificat  CA

Dans  l’onglet « Détails », le certificat racine du serveur
Avec les indications algorithme

De signature : sha1RSA

De hachage de la signature: sha1

Clé publique : RSA (1024 bits)

On génère le certificat du client

Dans  l’onglet « Détails », le certificat du client est
« vifrelec.crt »
Il contient les informations suivantes : Algorithme de signature : md5rsa Algorithme de hachage : md5
Sa date de validité à partir jusqu’à la fin de validité

Sa clé publique : RSA (1024 bits)

Dans l’onglet « Chemin d’accès de certification »
est indiqué  « ttbox-ag.teletechno.net »
cela indique où est stocké le certificat.

Le générateur de la clé RSA du client

L’installation est terminée.

Lancement de votre connexion

Aller dans menu                              ou  puis dans « Tous le Programmes »  puis Openvpn puis
Sélectionner

Un icône apparaît désormais dans votre barre des taches

Faire un clic droit et sélectionner le nom de votre connexion et faire « Connect »

Entrer le nom d’utilisateur et le mot de passe qui vous ont été fournis comme suit

La fenêtre disparaît la connexion est établie.

Etat de connexion

Connexion établie

Connexion en cours ou en attente d’action de l’utilisateur (Ex : Saisis mot de passe) Pas de connexion en cours

PS : Si le FAI est une LiveBox, on aura besoin du logiciel DynDNS qui permet de garder la même adresse IP que le FAI voudrait changer tous les 3 jours.

CONCLUSION

Tous les VPN ne sont pas fiables, soit parce que leur sécurité est défaillante, soit parce qu'ils sont mal montés. Donc bien réfléchir au choix du VPN en adéquation de la configuration sur laquelle vous allez travailler.
Ayez conscience que tous les VPN ne chiffrent pas forcément le trafic réseau.
Je conseille d’utiliser le plus souvent si possible le SSL qui vous permettra d'avoir une protection supplémentaire. Le serveur doit aussi faire fonction de passerelle.
J’ai effectué et mise à jour des documentations techniques sous l’application DIA comme ci-joint.

EVOLUTION POSSIBLE

Il existe aussi des services VPN en ligne qui permettent de protéger ses connexions en installant juste un logiciel. Certains d'entre eux peuvent se connecter avec OpenVPN tout en ayant leur propre interface graphique sans nécessité de configurer le logiciel puisque celui ci s'en occupe automatiquement (seuls votre login et mot de passe doit être rentrés)

Mais attention un petit tarif sera demandé, exemple

·     ActiVPN - OpenVPN 2048 bit - VPN made in France, les serveurs sont situés aux Pays-Bas, Usa et
France. A partir de 2,50€ par mois. Traffic illimité, pas de limite de vitesse.
·     Ananoos - OpenVPN - à partir de 4.58€ par mois, inscriptions réouvertes !
·     ConnexionVPN - OpenVPN - Site en Français - entre environ 4€ et 5€ par mois, vitesse et trafic
illimités, Clef de 2048 bits, société enregistrée en Grèce, serveurs au Luxembourg, Pays-Bas...
· 	Flashvpn - A partir de 5$/mois pour les VPN, et 8$ pour OpenVPN. On trouve dans les forums des gens qui crient à l'arnaque pour ce VPN (paiement et pas de compte) alors prudence.
·     iVPN - OPENVPN - $15 par mois, des serveurs multi-sauts, accés rapides sans limitations Europe et
USA. Site et support en anglais….