Communication en trois côtés via le VPN

Il est courant qu'une entreprise possède un siège social et plusieurs filiales situées dans différentes régions. Le responsable réseau peut établir un tunnel VPN entre le siège social et chaque filiale, permettant ainsi aux employés des sites de filiale d'accéder aux services et ressources du siège social. Le responsable réseau peut également établir les tunnels VPN entre les sites de filiales, permettant aux employés de communiquer entre eux sur différents sites. Cependant, cette tâche devient complexe lorsque le nombre de filiales est important.

Faisons des calculs simples : combien de tunnels VPN doit créer un administrateur réseau pour que les employés puissent accéder à chaque site ? Pour trois sites, l'administrateur réseau doit construire trois tunnels ; pour quatre sites, six tunnels. Cinq sites, dix tunnels. Si nous avons n sites, alors il faut Ʃ(n-1) tunnels. Cette quantité de tunnels VPN devient une tâche difficile à gérer pour le responsable réseau.

Pour faciliter cette tâche, l'administrateur réseau peut établir des tunnels entre chaque filiale et le siège social, puis faire passer le trafic d'une filiale à l'autre via le siège. Ainsi, l'administrateur réseau n'a besoin de construire et de maintenir que moins de tunnels VPN, dont la quantité est égale au nombre de filiales.

Cet article explique comment créer des clients LAN to LAN multiples en utilisant IPSec, permettant aux filiales de communiquer entre elles. Voici le scénario :

Le routeur Vigor du siège social sera le serveur VPN (site d'appel entrant), les deux routeurs Vigor dans la filiale seront les clients VPN (sites d'appel sortant).

Configuration du tunnel VPN sur le routeur Vigor du siège social

Allez à VPN and Remote Access > IPsec General Setup, et entrez la PSK (PreShared Key)

Configuration du serveur VPN du siège pour Branch_2960

Allez à VPN and Remote Access > LAN to LAN, puis cliquez sur un index disponible

Dans les Paramètres généraux :

Cochez Activer ce profil.

Sélectionnez la Direction de l'appel comme "Appel entrant".

Dans les paramètres d'appel entrant :

3. Sélectionnez le service Tunnel IPSec.

Dans les paramètres TCP/IP réseau :

4. Entrez l'adresse IP LAN et le masque de sous-réseau du côté distant dans Remote Network IP et Mask.

Configuration du serveur VPN du siège pour Branch_2860

Similaire à la configuration pour branch_2960, il suffit de changer le réseau distant vers le LAN de Vigor2860.

Configuration du tunnel VPN sur Branch_2960

Allez à VPN and Remote Access > Profils de connexion.

Cliquez sur Ajouter pour créer un nouveau profil IPsec VPN.

Activez le profil et définissez son nom.

Entrez l'adresse IP LAN et le masque de sous-réseau de Vigor2960 comme Local IP/ Subnet Mask.

Entrez l'adresse WAN/IP du domaine du serveur VPN comme Remote Host.

Entrez l'adresse IP LAN et le masque de sous-réseau du serveur VPN comme Remote IP/Subnet Mask.

Entrez l'adresse IP LAN et le masque de sous-réseau de Branch_2860 dans More Remote Subnet.

Entrez la clé pré-partagée.

Configuration du tunnel VPN sur Branch_2860

Allez à VPN and Remote Access > LAN to LAN, puis cliquez sur un index disponible

Dans les Paramètres généraux :

Cochez Activer ce profil.

Sélectionnez la Direction de l'appel comme "Appel sortant".

Dans les paramètres d'appel sortant :

Sélectionnez le service Tunnel IPSec.

Définissez l'adresse IP WAN/IP du domaine du côté distant du serveur.

Cliquez sur "IKE Pre-Shared Key" et entrez la clé pré-partagée.

La fonction "More Route" permet de créer plus de connexions avec d'autres filiales via le serveur VPN du siège. Pour l'activer, cliquez sur "Plus" et suivez les paramètres ci-dessous.

Définissez l'adresse IP LAN et le masque de sous-réseau des autres filiales.

Cliquez sur Ajouter pour ajouter ces réseaux à la liste Remote Network.

Une fois que le tunnel IPSec est établi entre tous les trois dispositifs, vous pouvez vérifier l'état du tunnel dans Connection Management de chaque appareil. Vous pouvez également utiliser l'outil Ping sous Diagnostics pour vérifier si vous pouvez pinguer le site distant.

Maintenant, les filiales devraient pouvoir communiquer mutuellement via le routeur Vigor du siège social. Ping depuis Branch_2960 vers Branch_2860

Ping depuis Branch_2860 vers Branch_2960: