DrayTek

Restriction de l'accès du réseau VPN distant à une IP spécifique

La passerelle (firewall) permet un accès sécurisé entre le réseau local et le réseau distant via la technologie VPN. Une fois que la connexion est établie, le réseau distant peut accéder à tous les appareils dans le réseau local comme s'ils étaient physiquement connectés. Mais comment faire pour limiter l'accès du réseau distant uniquement à un serveur spécifique ? Cet article explique comment configurer le routeur et restreindre les utilisateurs de la connexion VPN distante à un seul serveur local.

Il existe deux méthodes pour accomplir cela : par configuration de la passerelle (firewall) ou par règles de pare-feu.

Méthode 1 : par configuration de la passerelle

1. Dans le profil LAN-to-LAN de la passerelle Vigor dans le bureau secondaire, modifiez l'adresse IP du réseau distant pour qu'elle corresponde uniquement à celle du serveur.

2. Sur le profil LAN-to-LAN de la passerelle Vigor dans le bureau principal, changez l'adresse IP du réseau local pour qu'elle corresponde uniquement à celle du serveur.

3. Une fois que la connexion est établie, la passerelle du bureau secondaire n'a que des informations de routage vers l'IP du serveur 192.168.188.10/32, permettant aux clients du bureau secondaire d'accéder uniquement au serveur.

Méthode 2 : par règles de pare-feu

1. Créez une règle de pare-feu dans la passerelle principale pour limiter les connexions depuis le bureau secondaire. Allez à Objet >> IP Object, cliquez sur un index disponible pour créer un profil d'objet IP pour l'adresse du serveur :

  • Entrez un nom pour identifier l'objet
  • Sélectionnez "LAN/DMZ/RT/VPN" pour l'Interface
  • Sélectionnez "Single Address" pour le Type d'Adresse et entrez l'adresse IP du serveur 192.168.188.10
  • Cliquez sur OK pour sauvegarder

2. Cliquez sur un autre index disponible pour créer un profil d'objet IP pour le réseau VPN du bureau secondaire,

  • Entrez un nom
  • Sélectionnez "LAN/DMZ/RT/VPN" pour l'Interface
  • Sélectionnez "Subnet Address" pour le Type d'Adresse et entrez l'adresse IP 192.168.1.0 avec Masque de sous-réseau 255.255.255.0
  • Cliquez sur OK pour sauvegarder

3. Allez à Pare-feu >> Configuration du filtre >> Filtre Set 2 (Filtre par défaut), cliquez sur un profil disponible pour éditer la règle de pare-feu et permettre le passage des paquets depuis le bureau secondaire jusqu'au serveur.

  • Activez cette règle de pare-feu
  • Entrez un nom de profil
  • Direction : LAN/DMZ/RT/VPN → LAN/DMZ/RT/VPN
  • IP Source : Sélectionnez l'objet IP créé pour le réseau VPN du bureau secondaire
  • IP Destination : Sélectionnez l'objet IP créé pour le serveur local
  • (Facultatif) Type de service : spécifiez ici si vous voulez que le réseau VPN accède au serveur sur un port spécifique
  • Filtrer : Passer immédiatement

4. Cliquez sur un autre index pour créer une règle IP Filter pour bloquer les paquets depuis le bureau secondaire vers d'autres adresses IP.

  • Activez cette règle de pare-feu
  • Entrez un nom de profil
  • Direction : LAN/DMZ/RT/VPN → LAN/DMZ/RT/VPN
  • IP Source : Sélectionnez l'objet IP créé pour le réseau VPN du bureau secondaire
  • IP Destination : Toute
  • Filtrer : Bloquer immédiatement

C'est la configuration requise. Vous pouvez vérifier les journaux de pare-feu sur Diagnostics >> Syslog Explorer pour voir s'il y a des paquets filtrés.

Il existe deux méthodes pour accomplir cela : par configuration de la passerelle (firewall) ou par règles de pare-feu.

Méthode 1 : par configuration de la passerelle

1. Dans le profil LAN-to-LAN de la passerelle Vigor dans le bureau secondaire, changez l'adresse IP / Masque de sous-réseau du réseau distant pour qu'elle corresponde uniquement à celle du serveur.

2. Sur le profil LAN-to-LAN de la passerelle Vigor dans le bureau principal, changez l'adresse IP / Masque de sous-réseau du réseau local pour qu'elle corresponde uniquement à celle du serveur.

3. Une fois que la connexion est établie, la passerelle du bureau secondaire n'a que des informations de routage vers l'IP du serveur 192.168.188.10/32, permettant aux clients du bureau secondaire d'accéder uniquement au serveur.

Méthode 2 : par règles de pare-feu

1. Créez une règle de pare-feu dans la passerelle principale pour limiter les connexions depuis le bureau secondaire. Allez à Pare-feu >> Configuration du filtre >> IP Filter, cliquez sur Ajouter pour créer un nouveau groupe.

2. Dans le groupe de filtres, ajoutez une nouvelle règle comme suit :

  • Entrez un nom de profil
  • Cochez Activer
  • Sélectionnez "Bloquer si pas d'autre correspondance" pour l'Action
  • Dans IP Source, ajoutez un objet pour le réseau du bureau secondaire et sélectionnez-le
  • Dans IP Destination, ajoutez un objet pour le réseau du bureau principal et sélectionnez-le

3. Ajoutez une deuxième règle comme suit :

  • Entrez un nom de profil
  • Cochez Activer
  • Sélectionnez "Accepter" pour l'Action
  • Dans IP Source, ajoutez un objet pour le réseau du bureau secondaire et sélectionnez-le
  • Dans IP Destination, ajoutez un objet pour l'adresse IP du serveur et sélectionnez-le

C'est la configuration requise.

Publié Le : 2018-05-02

Captures d'écran

Besoin d'aide sur cette configuration ?

Notre équipe technique vous accompagne sur l'ensemble de la gamme DrayTek.

Contacter un expert