Activer l'authentification du serveur pour SSL VPN

La vérification du serveur peut protéger les clients SSL contre une attaque de type "homme dans le milieu" en s’assurant que le client se connecte au serveur qu'il a demandé. En tant que passerelle SSL VPN, le routeur Vigor Router peut également créer l’autorité racine (CA) pour émettre les certificats du serveur nécessaires à la connexion SSL. Vous pouvez également exporter l'autorité CA racine et l'importer dans la liste des autorités CA de confiance sur les appareils clients afin qu'ils puissent vérifier l'authenticité du certificat. Cet article couvre comment créer un certificat serveur pour SSL VPN, comment importer l’autorité CA racine sur iOS et comment l’importer sur les smartphones Android.

Création du certificat local

1. Allez à System Maintenance >> Time and Date pour vous assurer que la configuration horaire du routeur est correcte et qu'elle correspond au fuseau horaire des clients. Lors de l'authentification de l'identité du serveur, le client vérifiera si l’heure et la date actuelles se trouvent dans la période de validité du certificat du serveur.

2. Allez à Certificate Management >> Trusted CA Certificate, cliquez sur Create Root CA.

3. Terminez les informations suivantes :

Sélectionnez "None" pour Subject Alternative Name
Remplissez le contenu incluant la localisation, l'organisation, le nom et l'e-mail.
Choisissez une taille de clé de 2048 bits pour une sécurité accrue
Cliquez sur Generate pour générer l'autorité CA racine

4. Il faudra quelques minutes pour que l'autorité CA racine soit créée. Attendez jusqu'à ce que le statut affiche OK.

5. Générez ensuite un Certificat Local, c'est le certificat que le routeur enverra aux clients SSL VPN. Allez à Certificate Management >> Local Certificate et cliquez sur Generate.

6. Remplissez les champs ci-dessous avec des informations correctes :

Entrez Certification Name
Pour Subject Alternative Name, choisissez le type d'accès du client VPN au routeur (ici nous sélectionnons IP Address par exemple).
Entrez l'adresse WAN du routeur pour IP Address. Cela doit être l'adresse IP utilisée par les clients VPN dans leurs paramètres Serveur.
Remplissez la localisation, l'organisation, le Nom Commun (CN) et l'e-mail. Le CN devrait correspondre au Subject Alternative Name, donc nous mettons ici l'adresse IP.
Choisissez une taille de clé de 2048 bits pour une sécurité accrue
Cliquez sur Generate pour créer le Certificat Local

7. Attendez quelques minutes jusqu'à ce que la demande de signature soit prête, puis cliquez sur Sign pour signer le certificat avec l'autorité CA racine.

8. Sélectionnez la date d'expiration du certificat local et cliquez sur Sign.

9. Assurez-vous que le statut du Certificat Local est OK.

10. Maintenant, nous pouvons utiliser ce certificat pour SSL VPN. Allez à SSL VPN >> General Setup, sélectionnez le certificat créé dans l'étape précédente pour Server Certificate. Cliquez sur OK pour enregistrer les paramètres.

11. Les clients VPN peuvent maintenant utiliser "Match Server Name" pour la vérification. Lors de l'établissement de la connexion SSL, il vérifiera si le nom d'hôte ou l'adresse IP dans le certificat du serveur correspond au nom d'hôte ou à l'adresse IP qu'il est en train de se connecter.

Exportation de l'autorité CA racine vers iOS

1. Après la génération de l’autorité CA racine à Certificate Management >> Trusted CA Certificate, cliquez sur Export pour télécharger le RootCA. Ensuite, envoyez-le au dispositif client par e-mail.

2. Sur le dispositif client, ouvrez le fichier .crt.

3. Appuyez sur Install puis entrez le code PIN pour démarrer l'installation

4. Lisez le message d'avertissement puis appuyez sur Install.

5. Après la fin de l'installation, vous verrez que Root CA est devenu vérifié.

6. Sur les dispositifs clients, allez à General >> About >> Certificate Trust Settings et activez le Root CA installé.

7. Maintenant, nous pouvons utiliser Verify RootCA pour les paramètres de vérification du certificat. C'est-à-dire que pendant la poignée SSL, l'appareil ne vérifiera pas seulement le certificat du serveur mais aussi l'émetteur du certificat. Il établira uniquement le VPN si le serveur présente un certificat signé par une autorité CA de confiance.