Configuration d'une connexion VPN single-arm

La configuration de la fonction Single-Arm VPN permet à la passerelle VPN du routeur DrayTek de fonctionner uniquement sur l'interface WAN, plutôt que sur le trafic échangé entre LAN et WAN. Avec cette méthode, le trafic arrive sur l'interface WAN, est crypté et envoyé via la même interface WAN. C'est une solution pour ajouter la compatibilité VPN au réseau sans remplacer la passerelle Internet.

Depuis la version firmware 3.8.4.2, les routeurs Vigor supportent le Single-Arm VPN pour PPTP (TCP 1723), IPsec (UDP 500 et 4500) et SSL (TCP 443 ou défini par l'utilisateur).

Configuration du routeur Vigor (sur LAN A)

1. Accédez à VPN and Remote Access >> LAN to LAN et cliquez sur un index disponible.

Activez le profil et choisissez "Dial-In" pour la Direction de l'appel.
Activez PPTP et donnez un nom d'utilisateur et un mot de passe dans les paramètres Dial-In.
Entrez LAN B pour Réseau distant dans TCP/IP Network Settings.
Entrez LAN A (réseau WAN) pour Réseau local.

2. Pour éviter le conflit entre le réseau LAN et le réseau WAN, il est recommandé de changer le réseau LAN du routeur Vigor.

3. Accédez à Routing > Route Policy et cliquez sur un index disponible pour ajouter une nouvelle règle :

Entrez LAN A dans l'adresse IP source.
Entrez LAN B dans l'adresse IP destination.
Sélectionnez le profil VPN pour l'interface.

Configuration du routeur distant (sur LAN B)

1. Accédez à VPN and Remote Access >> LAN to LAN et cliquez sur un index disponible pour ajouter un nouveau profil :

Activez le profil et choisissez "Dial-Out" pour la Direction de l'appel.
Sélectionnez PPTP comme Type du serveur auquel je me connecte.
Entrez l'adresse IP WAN ou le nom de domaine de la passerelle Internet.
Entrez un nom d'utilisateur et un mot de passe.

Configuration de la passerelle Internet

Pour que la configuration Single-Arm VPN fonctionne, il est nécessaire que le trafic VPN traverse la passerelle Internet et soit envoyé au tunnel VPN. Voici un exemple avec un Vigor300B :

1. Accédez à NAT >> Port Redirection et cliquez sur Ajouter pour créer une nouvelle règle :

Activez le profil et choisissez "One-to-One" comme Mode de redirection des ports.
Entrez 1723 dans les champs Public Port et Private Port (ce port est utilisé par la connexion PPTP).
Entrez l'adresse IP WAN du routeur Vigor.

2. Accédez à Routing >> Static Route et cliquez sur Ajouter pour créer une nouvelle règle :

Activez le profil.
Entrez LAN B comme adresse IP de destination.
Utilisez l'adresse IP WAN du routeur Vigor comme passerelle.

Configuration des derniers routeurs DrayOS 5

Depuis la version firmware 5.3.1, les routeurs DrayOS 5 supportent le Single-Arm VPN pour :

IPsec (UDP 500 et 4500)
OpenVPN (TCP/UDP 1194)
WireGuard (UDP 51820)

Configuration de la passerelle Internet

Pour que la configuration Single-Arm VPN fonctionne, il est nécessaire que le trafic VPN traverse la passerelle Internet et soit envoyé au serveur VPN. Voici un exemple avec un Vigor2927 :

Accédez à **VPN and Remote Access >> Remote Access Control** et désactivez tous les services VPN.

Accédez à **NAT >> Open Ports**, sélectionnez un index disponible pour l'éditer comme suit :
Activez Ouvrir les ports.
Donnez un nom dans le champ Commentaire.
Entrez l'adresse IP WAN du routeur serveur VPN : 192.168.1.10.

Accédez à **Routing >> Static Route** et sélectionnez un index disponible pour l'éditer comme suit :
Activez le profil.
Entrez 192.168.2.0 comme adresse IP de destination.
Entrez 255.255.255.0/24 comme masque de sous-réseau.
Entrez l'adresse IP WAN du routeur serveur VPN : 192.168.1.10.

Configuration du routeur Vigor (serveur sur LAN A)

Accédez à **VPN / Site-to-Site VPN** et cliquez sur Ajouter pour créer un profil de connexion comme suit :

Donnez un nom au profil.
Activez le profil.
Sélectionnez "Dial-in" comme Direction.
Choisissez le type de connexion, par exemple IPsec.

Accédez à **Configuration / Routing / Route Policy** et cliquez sur Ajouter pour créer une politique comme suit :

Donnez un nom au profil.
Activez le profil.
Sélectionnez IPv4 Subnet pour Source et entrez l'adresse IP et le masque de sous-réseau utilisé sur le routeur local.