Connectivité hybride - VPN

1. Principe et description des VPN site à site Azure

Les réseaux VPN site à site sont une des approches à l’hybridation de vos réseaux avec le cloud Microsoft Azure. La connectivité VPN IPsec, simple et rapide, rend possibles les communications sécurisées entre deux espaces d’adressage privés non conflictuels, qu’il s’agisse par exemple d’interconnecter votre réseau local à Azure ou un autre fournisseur cloud à Azure. Ainsi, l’accès à vos ressources situées dans le cloud Azure se fait au travers d’adressages privés, comme pour vos ressources internes actuelles. Inversement, vos ressources Azure peuvent également joindre les réseaux locaux pour redescendre des données localement ou entre différents fournisseurs cloud.

L’hybridation de vos réseaux rend donc totalement privée une partie de vos ressources internes et ne permet plus d’y accéder librement en dehors de votre réseau d’entreprises. Les ressources publiques et exposées, elles, le resteront, mais seront clairement distinguées en termes de sécurité et d’accès.

Dans Azure, la mise en place d’une connectivité hybride de type VPN requiert différents éléments de configuration :

Avant d’aborder les spécificités techniques liées aux passerelles VPN, il est important d’évoquer dans un premier temps les différents SKU disponibles.

1. Création de la passerelle depuis le portail Azure

Procédez à l’application des manipulations suivantes :

1. Principe et description des VPN point à site Azure

L’hybridation site à site étudiée précédemment est de loin l’hybridation VPN la plus répandue et la plus déployée lorsque des sujets d’interconnexions sont abordés. Toutefois, ce type de connectivité ne couvre pas nécessairement l’ensemble du périmètre utilisateurs et peut, dans certains cas, ne pas être suffisant. Dans la mesure où un nombre croissant d’utilisateurs travaillent désormais à distance et de manière géographiquement répartie, l’interconnexion d’un site siège principal ne répond pas toujours à l’ensemble des besoins de connectivité sécurisée.

Pour répondre à ces multiples enjeux, les passerelles Azure offrent la possibilité de configurer des tunnels VPN dits "point à site". Ces derniers ont pour objectif de connecter des machines uniques (on parlera de manière générale d’utilisateur) aux réseaux virtuels Azure au travers d’un tunnel sécurisé. Dans ce cas, il n’est plus obligatoire de posséder une passerelle VPN locale ainsi qu’une IP publique associée. La connectivité est directe et sécurisée, entre le client VPN de l’utilisateur et la passerelle VPN Azure. C’est cette fois le client qui initie la connexion lorsqu’il le souhaite.

Le schéma suivant illustre une connectivité point à site (P2S) :

Abordons à présent les possibilités offertes par Microsoft Azure concernant les tunnels point à site et l’authentification des utilisateurs.

2. Types de tunnels et d’authentification

Les types de tunnels P2S supportés, comme leurs méthodes d’authentification, sont multiples. De par cette multitude de possibilités, les solutions VPN point à site offertes par Microsoft Azure s’adaptent largement aux environnements de travail de la plupart des sociétés et de ses collaborateurs, et pourront...

1. Création des certificats racine et clients

Comme évoqué précédemment, bien qu’une PKI soit le plus souvent utilisée pour la gestion de vos certificats, dans notre cas, et à titre d’exemple, la création sera simplifiée et reposera sur des certificats auto-signés.

La première étape consiste à créer le certificat racine. Pour cela, depuis un ordinateur Windows 10 (ou Windows Server 2016) :

Connect-AzAccount 

$cert = New-SelfSignedCertificate -Type Custom -KeySpec  
Signature ` 
-Subject "CN=dreamcert" -KeyExportPolicy Exportable ` 
-HashAlgorithm sha256 -KeyLength 2048...