accès distant ou VPN

Table des matières
1 Accès distant sur Windows 2008 Server ............................................................................2
1.1 Introduction ............................................................................................................2
1.2 Accès distant (dial-in) ...............................................................................................2
1.3 VPN.........................................................................................................................3
1.4 Authentification.......................................................................................................4
1.5 Configuration d’un réseau privé virtuel (vpn).............................................................6
1.6 Configuration de l'accès réseau à distance...............................................................18
1.7 Stratégies d’accès distant .......................................................................................28
1.7.1 Autorisation ...................................................................................................28
1.7.2 Définir les conditions ......................................................................................29
1.7.3 Profil..............................................................................................................31
2011 Hakim Benameurlaine 1

1 Accès distant sur Windows 2008 Server
1.1 Introduction
L'accès réseau à distance permet à un utilisateur situé en dehors du
réseau, de se connecter à l'environnement réseau au travers du service
Accès distant (dial-in) ou d'une connexion VPN (Virtual Private Network).
Windows 2008 Server implémente le service Routage et Accès
distant, qui donne à un serveur le rôle de serveur d'accès distant.
Il implémente également un client d'accès distant et un client VPN,
permettant ainsi d'établir réciproquement, des connexions via le protocole
PPP et des tunnels PPTP, L2TP.
1.2 Accès distant (dial-in)
L’accès distant permet à un utilisateur d’accéder à un serveur d’accès distant via
une liaison point à point sur RTC.
Le serveur d’accès distant joue le rôle de passerelle entre le client d’accès distant
et le réseau local.
Lorsqu’un client d’accès distant se connecte à un serveur d’accès distant, il utilise
un protocole de liaison de données approprié au support de communication qu’il
utilise.
Le support de communication peut être :
RTC réseau téléphonique commuté.
RNIS réseau numérique à intégration de service.
Support X25 réseau à commutation de paquets.
FRAME-RELAY réseau à commutation de trames.
ATM Asynchronous Transfer Mode
Support DSL Digital Subscriber Line
Les protocoles de liaison de données que support Windows 2008 sont:
SLIP (Serial Line Internet Protocol)
Ce protocole est utilisé pour se connecter via un modem à un serveur
SLIP au travers d’une connexion non sécurisée. Il s’agit d’un vieux
standard de communication que l’on peut trouver dans les
environnements Unix. Le protocole SLIP ne peut encapsuler que de
l’IP.
2011 Hakim Benameurlaine 2

Windows 2008 Server ne peut pas être configuré comme serveur
SLIP mais il inclut un client SLIP.
PPP (Point to Point Protocol)
C'est une amélioration du SLIP. Il peut encapsuler en dehors des
protocoles TCP/IP des protocoles IPX/SPX, NetBEUI.
L’avantage majeur du protocole PPP est qu’il n’est pas propriétaire,
donc n’importe quel client supportant PPP peut se connecter à un
serveur d’accès distant Windows 2008.
1.3 VPN
Le VPN (Virtual Private Network), permet à un utilisateur d'accéder aux
ressources de son entreprise par exemple, comme s'il était physiquement
connecté au LAN de cette dernière. Le serveur VPN nécessite une adresse
IP public.
Le VPN constitue une extension d'un réseau privé à travers un réseau
public. De ce fait, le VPN n'est doté d'aucune mesure de sécurité dans son
élément de base.
Cependant, il est nécessaire de sécuriser les données qui transitent dans
ce type de réseau.
Windows 2008 Server utilise deux types de protocoles de tunnel qui sont
PPTP (Point-to-Point Tunneling Protocol) et L2TP (Layer Two Tunneling
Protocol).
L'avantage du VPN par rapport à une connexion d'accès distant est que ce
dernier peut s'effectuer via une connexion Internet, alors que l'accès distant
nécessite quant à lui une connexion point à point utilisant le RTC ou RNIS,
ce qui revient économiquement plus cher.
Un autre avantage du VPN est la possibilité d'effectuer une interconnexion
de deux réseaux d'entreprise à travers un réseau public.
PPTP
Il s'agit d'un protocole qui rend possible l'interconnexion des réseaux via
un réseau IP. C'est notamment un protocole qui permet l'encapsulation
sécurisée sur un réseau public pour créer un VPN.
L2TP
C'est un protocole qui permet d'interconnecter des réseaux dès qu'une
connexion point à point orientée paquet est offerte par le tunnel. Le L2TP
2011 Hakim Benameurlaine 3

permet une compression des en-têtes et une authentification en tunnel. Il
utilise aussi IPSec afin de crypter les données.
PPTP
Propriétaire (Microsoft)
Encryptage Microsoft intégré
Réseaux IP seulement
Antérieur à L2TP
L2TP
Ouvert
IPSEC
IP, ATM, X.25…
Plus récent
Windows 2000 et plus
1.4 Authentification
Il est essentiel, lors de l'établissement d’une connexion d'accès distant, de
procéder à la sécurisation des données qui transitent via un mécanisme
d'authentification. Au sein de l'infrastructure Windows 2008 Server,
plusieurs protocoles d'authentification sont proposés. Ces méthodes
diffèrent essentiellement par leur niveau de sécurité.
Il est possible de choisir parmi les protocoles d'authentification suivants :
PAP (Password Authentification Protocol)
Il s'agit d'une méthode d'authentification peu sécurisée et très simple.
Le login et le mot de passe sont envoyés en clair par le client d'accès
distant au serveur d'accès distant, qui les comparent aux informations
qui sont stockées dans la base SAM locale ou Active Directory.
SPAP (Shiva Password Authentification Protocol)
Ce protocole est plus sécurisé que le protocole PAP. Il permet de
connecter des clients Shiva à un serveur d'accès distant Windows.
CHAP (Challenge Handshake Authentification Protocol)
Il s'agit d'un protocole crypté conçu pour les échanges de mots de
passe via IP ou PPP. Les mots de passes sont stockés en clair sur le
client et le serveur. Le client envoie le hash au serveur qui le compare
au résultat de son hash.
MS-CHAP (Microsoft Challenge Handshake Authentification Protocol)
Ce type de protocole est basé sur le même principe que le CHAP à la
différence que MS-CHAP stocke les mots de passes de façon cryptée,
grâce à MD4 qui est une fonction de hachage.
MS-CHAP 2
Il s'agit ici d'une version plus récente du MS-CHAP, qui à la différence
du MS-CHAPv1, propose une sécurité plus accrue.
EAP (Extensible Authentification Protocol)
2011 Hakim Benameurlaine 4

Il fait référence à un ensemble de protocoles qui apportent une
extension aux méthodes d'authentification actuelles.
Exemples :
o SmartCard (carte + pin).
o Authentification Biométrique (empreinte + pin).
Pour configurer les Méthodes d’authentification :
Aller dans les propriétés du serveur, onglet Sécurité :
2011 Hakim Benameurlaine 5

1.5 Configuration d’un réseau privé virtuel (vpn)
SERVEUR :
Nous allons dans cette étape, configurer un serveur VPN.
2011 Hakim Benameurlaine 6

2011 Hakim Benameurlaine 7

Si vous ne disposez pas d’au moins deux interfaces réseaux, vous recevrez le
message suivant :
Si vous disposez de deux interfaces réseaux, vous recevrez le message suivant :
2011 Hakim Benameurlaine 8

2011 Hakim Benameurlaine 9

2011 Hakim Benameurlaine 10

2011 Hakim Benameurlaine 11

CLIENT :
2011 Hakim Benameurlaine 12

2011 Hakim Benameurlaine 13

2011 Hakim Benameurlaine 14

Autoriser l’usager pour le serveur VPN:
2011 Hakim Benameurlaine 15

Faire un test de connexion à partir du client :
2011 Hakim Benameurlaine 16

Afficher les connexions sur le serveur VPN:
2011 Hakim Benameurlaine 17

1.6 Configuration de l'accès réseau à distance
SERVEUR :
2011 Hakim Benameurlaine 18

2011 Hakim Benameurlaine 19

2011 Hakim Benameurlaine 20

2011 Hakim Benameurlaine 21

Configurer le modem du serveur :
2011 Hakim Benameurlaine 22

2011 Hakim Benameurlaine 23

CLIENT :
2011 Hakim Benameurlaine 24

2011 Hakim Benameurlaine 25

2011 Hakim Benameurlaine 26

Faire un test :
2011 Hakim Benameurlaine 27

1.7 Stratégies d’accès distant
Les stratégies d’accès distant sont utilisées pour accorder ou non l’accès
aux clients d’accès distant ou VPN en se basant sur un ensemble de
conditions, d’autorisations et de profils.
La réussite d’une connexion d’accès distant ou VPN ne repose pas
uniquement sur l’acceptation pour un utilisateur d’effectuer des appels
entrants.
On va pouvoir indiquer qu’un utilisateur peut établir une connexion
uniquement s’il utilise un protocole d’authentification comme défini dans la
stratégie, qu’il se connecte selon un horaire donné, etc.
1.7.1 Autorisation
Le serveur d’accès distant ou VPN vérifie que l’utilisateur s’authentifiant
possède l’autorisation d’établir une connexion.
Les autorisations sont définies à la fois dans les propriétés du compte
utilisateur pour lequel on souhaite lui autoriser ou interdire l’établissement
d’une connexion, et dans la stratégie elle-même.
Aller dans les propriétés du compte utilisateur, onglet Appel entrant.
2011 Hakim Benameurlaine 28

Trois possibilités sont offertes :
Autoriser l’accès
Si un utilisateur possède cette autorisation alors le profil défini dans la
stratégie est appliqué à l’utilisateur, et la connexion est établie sauf si une
contre-indication apparaît dans le profil.
Refuser l’accès
Si un utilisateur possède cette autorisation, l’accès lui est refusé sauf dans
le cas où l’attribut Ignore-User-Dialin-Properties possède la valeur Vrai.
Si L’autorisation d’accès est refusée alors la connexion écho ue.
Contrôler l’accès via la stratégie d’accès distant
Cette option indique que l’autorisation de connexion de l’utilisateur ne
dépend pas des propriétés de son compte mais des autorisations définies
dans la stratégie elle-même :
L’option Refuser l’autorisation d’accès distant indique que l’utilisateur
ne pourra pas établir de connexion.
L’option Accorder l’autorisation d’accès distant indique que l’utilisateur
pourra établir de connexion et le profil sera alors appliqué à l’utilisateur.
1.7.2 Définir les conditions
Pour qu’un utilisateur puisse établir une connexion, il doit obligatoirement
remplir toutes les conditions définies dans la stratégie. Si une seule des
conditions n’est pas remplie, alors la connexion échoue.
Pour définir les conditions :
1) Aller dans la console Routage et accès distant.
2011 Hakim Benameurlaine 29

2) Dans le conteneur Stratégies d’accès distant, éditer une stratégie.
3) Cliquer sur le bouton Ajouter.
4) La liste des conditions que vous pouvez ajouter apparaît.
Sélectionner une condition et cliquer sur le bouton Ajouter pour lui
attribuer une valeur en fonction de la condition choisie.
2011 Hakim Benameurlaine 30

1.7.3 Profil
Si les propriétés de la connexion répondent aux conditions et que
l’utilisateur possède l’autorisation d’établir une connexion, il se voit
attribuer un profil de connexion qui correspond à un ensemble de
propriétés appliquées à la connexion.
Le profil peut aussi être un élément permettant de refuser l’établissement
d’une connexion, si certain paramètres du profil entrent en conflit avec la
manière dont la connexion a été établie. Par exemple si le protocole
d’authentification utilisé ne correspond pas avec les indications du profil.
Un profil est composé des éléments suivants :
2011 Hakim Benameurlaine 31

Onglet Contraintes pour les appels entrant
Permet d’indiquer que la connexion peut s’établir uniquement selon un
horaire donné, définir des délais de connexion, etc.
2011 Hakim Benameurlaine 32

Onglet IP
Permet de définir comment les adresses IP seront attribuées aux clients
d’accès distant ou VPN.
Il est aussi possible de définir des filtres d’entrée et de sortie pour la
connexion établie selon le profil. Ceci permet de définir quels sont les flux
qui auront le droit d’entrer dans le réseau privé.
2011 Hakim Benameurlaine 33

Onglet Liaison multiples
Permet de définir pour les clients d’accès distant la prise en charge du
protocole BAP.
2011 Hakim Benameurlaine 34

Onglet Authentification
Permet de spécifier les méthodes d’authentification acceptables pour les
clients d’accès distant ou VPN. Il faut aussi que le serveur d’accès distant
prenne en charge ces méthodes d’authentification.
2011 Hakim Benameurlaine 35

Onglet Cryptage
Permet d’indiquer les niveaux de cryptage autorisés pour la connexion.
2011 Hakim Benameurlaine 36