Configuration de l’accès distant

Composants d’une infrastructure de service d’accès réseau

Une infrastructure d’accès réseau contient plusieurs composants. On y trouve un serveur VPN qui permet la création d’un tunnel au travers d’Internet. L’utilisateur peut ainsi se connecter à distance au réseau de l’entreprise et travailler comme s’il était connecté au réseau physique. Le serveur AD DS (Active Directory) assure l’authentification lorsqu’un utilisateur tente la connexion à distance. Une autorité de certification (rôle AD CS - Active Directory Certificates Services) assure le déploiement et la gestion des certificats nécessaires à l’authentification et à la connexion au réseau. L’attribution d’un bail DHCP est nécessaire afin de pouvoir accéder aux données, le serveur DHCP ayant pour fonction de délivrer ce bail lorsqu’une connexion d’accès à distance entrante est acceptée.

Il est possible de sécuriser cette connexion entrante en s’assurant de l’état de santé des postes (antivirus activé et à jour, pare-feu activé…). Pour cela un serveur NAP doit être installé.

Configuration de l’accès VPN

Une solution VPN est composée d’un serveur mais également d’un client VPN. Les deux sont reliés par l’intermédiaire d’un protocole de tunneling.

Vue d’ensemble des politiques de sécurité

Le serveur d’accès distant détermine si la connexion est autorisée ou non en fonction des stratégies réseau. Il est ainsi possible d’ajouter dans ces règles des restrictions de jour et heure, de déconnexion en cas d’inactivité…

Les stratégies réseau sont des règles qui contiennent un ensemble de conditions et de paramètres indiquant les personnes autorisées à se connecter. Ainsi, le serveur autorise ou non la connexion en fonction de l’état de santé.

Comme pour un pare-feu, les règles sont analysées. Dès lors qu’une règle correspond à la demande de connexion, les paramètres définis s’appliquent à celle-ci. La vérification des règles s’effectue de dans l’ordre, il est donc important de vérifier l’ordonnancement des différentes règles (si la règle 1 correspond, les règles suivantes ne sont pas prises en compte).

Une règle possède plusieurs propriétés. Ces dernières sont rangées en quatre catégories :

Présentation du Web Application Proxy et du proxy RADIUS

Le Web Application Proxy est un nouveau service du rôle accès à distance. Apparu avec Windows Server 2012 R2, il fournit un service de reverse proxy.

Utile pour les applications web, il peut être utilisé avec AD FS. Ce dernier cas apporte une sécurité supplémentaire. En effet, le risque d’exposition sur Internet de la ou des applications est géré en configurant certaines fonctionnalités d’AD FS (Workplace Join, authentification forte…).

Avec Windows Server 2016, Microsoft a apporté de nouvelles fonctionnalités au Web Application Proxy :

De ce fait, on s’assure que seules les personnes autorisées accèdent aux applications.

Depuis quelques...

Support du routage et accès distant

Le support de la partie routage est un point important. En effet le crash d’un routeur ou d’un serveur ayant ce rôle peut perturber des applications ou le travail de l’utilisateur. Il est donc nécessaire de s’assurer du bon fonctionnement de ce rôle.

netsh ras set tracing composant enabled/disabled...

Routage et protocoles

Le service routage et accès distant (RRAS) tire son nom des deux principaux services réseau qu’il fournit. 

Un routeur est un périphérique qui gère le flux de données entre des segments réseau, ou sous-réseaux. Un routeur dirige les paquets entrants et sortants en fonction des informations sur l’état de ses propres interfaces réseau et d’une liste de sources et destinations possibles pour le trafic réseau.

En général, les routeurs matériels dédiés gèrent mieux les exigences de routage plus fortes et les routeurs logiciels (moins coûteux) gèrent des charges de routage plus légères.

Une solution de routage logicielle telle que RRAS dans cette version de Windows peut être idéale sur un petit réseau segmenté avec un trafic relativement faible entre les sous-réseaux. Les environnements réseau d’entreprise qui ont un grand nombre de segments réseau et une large gamme d’impératifs de performances peuvent nécessiter divers routeurs matériels afin de remplir différents rôles sur l’ensemble du réseau.

Configuration de DirectAccess

En implémentant DirectAccess, l’administrateur s’épargne les problèmes liés à une mauvaise manipulation du client. En effet, celui-ci se connecte de manière automatique à son serveur.

Présentation du rôle Network Policy Server

NPS permet aux administrateurs la mise en place de stratégies d’accès réseau (authentification et autorisation des demandes de connexion). Il est possible également de configurer un proxy RADIUS qui assurera la transmission des demandes vers d’autres serveurs RADIUS.

Un serveur NPS peut être utilisé en tant que serveur RADIUS, il faut pour cela configurer des clients RADIUS (point d’accès Wi-Fi, commutateur, serveur VPN…). Par la suite, il est nécessaire d’implémenter les différentes stratégies réseau utiles à l’autorisation des demandes de connexion. Si le serveur est membre du domaine, AD DS est utilisé pour fournir la base de comptes utilisateur. Ainsi, l’utilisateur peut utiliser son nom d’utilisateur et son mot de passe pour l’accès au réseau. NPS peut également servir de serveur de stratégie NAP. Le serveur récupère les informations d’intégrité envoyées par les clients et autorise ou non l’accès au réseau. Cet accès est autorisé si l’état de santé respecte les contraintes de sécurité définies par l’administrateur (antivirus à jour, etc.). Le client NAP est intégré aux systèmes d’exploitation...

Configuration du serveur RADIUS

RADIUS est un protocole permettant d’effectuer l’authentification et l’autorisation dans le but d’autoriser ou non un accès réseau.

Méthode d’authentification NPS

Avant d’autoriser ou de refuser un accès, le serveur NPS authentifie et autorise la demande de connexion. L’authentification permet s’assurer de l’identification d’un utilisateur ou d’un ordinateur qui tente d’accéder au réseau. Cette identification est prouvée par l’intermédiaire d’informations d’identification (mot de passe, certificat numérique…).