Communication de trois sites via un réseau privé virtuel (VPN)

Il est courant qu'une entreprise dispose d'un siège social et de plusieurs filiales situées à différents endroits. Le responsable réseau peut établir une passerelle VPN entre le siège social et chaque filiale, ce qui permet aux employés des filiales d'accéder aux services et ressources du siège social. Le responsable réseau peut également établir la passerelle VPN entre les sites de filiales, afin que les employés puissent accéder mutuellement sur différentes filiales. Cependant, cela ne devient qu'un travail facile pour le responsable réseau lorsque les filiales sont peu nombreuses.

Faisons des calculs simples : combien de tunnels VPN doit construire le responsable réseau pour permettre aux employés d'accéder aux services et ressources de chaque site ? Si trois sites sont impliqués, le responsable réseau devra construire trois tunnels ; si quatre sites sont concernés, six tunnels seront nécessaires. Pour cinq sites, il faudrait dix tunnels. Avec n sites, on aura besoin de Ʃ(n-1) tunnels. Il devient difficile pour le responsable réseau de gérer un tel nombre de tunnels VPN.

Pour simplifier la tâche, le responsable réseau peut construire des tunnels VPN entre chaque filiale et le siège social, puis faire en sorte que le siège social redirige le trafic d'une filiale à l'autre. Ainsi, le responsable réseau n'aura besoin de construire et de maintenir qu'un nombre moindre de tunnels équivalent au nombre de filiales.

Cet article explique comment créer un client LAN à LAN multiple en utilisant IPSec, afin que les filiales puissent communiquer entre elles. Voici la configuration du scénario :

Le routeur Vigor dans le siège social sera le serveur VPN (site d'appel entrant), tandis que les deux routeurs Vigor des filiales seront les clients VPN (sites d'appel sortant).

Configuration de la passerelle VPN sur le routeur Vigor du siège social

1. Accédez à VPN and Remote Access > IPsec General Setup et entrez la PSK (PreShared Key).

2. Pour la configuration du serveur HQ pour Branch_2960 :

Accédez à **VPN and Remote Access > LAN to LAN**, puis cliquez sur un index disponible.
Dans les paramètres généraux, cochez "Enable this profile" et sélectionnez Call Direction comme "Dial-In".
Dans Dial-In Settings : Sélectionnez le service de tunnel IPSec.
Dans TCP/IP Network Settings : Entrez l'adresse IP LAN et la masque de sous-réseau du côté distant dans Remote Network IP et Mask.

3. Pour la configuration du serveur HQ pour Branch_2860, procédez comme pour Branch_2960, en changeant seulement le réseau distant pour celui du Vigor2860.

Configuration de la passerelle VPN sur le routeur Vigor des filiales

1. Accédez à VPN and Remote Access > VPN Profiles.

2. Cliquez sur "Add" pour créer un nouveau profil IPsec VPN.

3. Activez le profil et définissez son nom.

4. Entrez l'adresse IP LAN et la masque de sous-réseau du Vigor2960 comme Local IP/Subnet Mask.

5. Entrez l'adresse IP WAN/Domaine du serveur VPN comme Remote Host.

6. Entrez l'adresse IP LAN et le masque de sous-réseau du serveur VPN comme Remote IP/Subnet Mask.

7. Entrez l'adresse IP LAN et le masque de sous-réseau de Branch_2860 dans More Remote Subnet.

8. Entrez la clé pré-partagée.

Configuration sur le routeur Vigor des filiales

1. Accédez à VPN and Remote Access > LAN to LAN, puis cliquez sur un index disponible.

2. Dans les paramètres généraux, cochez "Enable this profile" et sélectionnez Call Direction comme "Dial-Out".

3. Dans Dial-Out Settings : Sélectionnez le service de tunnel IPSec.

4. Définissez l'adresse IP WAN/Domaine du serveur distant.

5. Cliquez sur "IKE Pre-Shared Key" et entrez la clé pré-partagée.

La fonction "More Route" permet des connexions supplémentaires avec d'autres filiales via le serveur VPN dans le siège social. Pour l'activer, cliquez sur "More" et suivez les paramètres ci-dessous :

1. Entrez l'adresse IP LAN et la masque de sous-réseau de l'autre filiale.

2. Cliquez sur "Add" pour ajouter cela au réseau distant.

Une fois que le tunnel IPSec est établi entre tous les trois appareils, vous pouvez vérifier l'état du tunnel dans Connection Management de chaque appareil. Vous pouvez également utiliser la fonction Ping Tool sous Diagnostics pour vérifier si vous pouvez pinguer le site distant.

Avec cette configuration, les filiales devraient pouvoir communiquer mutuellement via le routeur Vigor du siège social.

Scénario

Siège Social (HQ)

LAN : 192.168.28.0/24
Rôle : Serveur VPN (Dial-in)

Filiale A

LAN : 10.106.21.0/24
Rôle : Client VPN (Dial-out)

Filiale B

LAN : 192.168.2.0/24
Rôle : Client VPN (Dial-out)

Objectif

Filiale A peut accéder aux ressources du siège social.
Filiale B peut accéder aux ressources du siège social.
Filiale A et Filiale B peuvent communiquer entre elles.

Au lieu de créer des tunnels VPN entre chaque site, le responsable réseau établit :

1. Un tunnel VPN entre HQ et Filiale A

2. Un tunnel VPN entre HQ et Filiale B

Le routeur HQ crée ensuite des règles Policy Route pour rediriger le trafic entre Filiale A et Filiale B.

Dans cette configuration, un Vigor2136 au siège social agit comme serveur VPN, tandis que les deux autres Vigor2136 aux filiales agissent comme clients VPN. Tous les échanges inter-filiales passent par le siège social.

Configuration de la passerelle VPN sur le routeur Vigor – siège social (HQ)

1. Activez le service IPsec VPN.

Accédez à **VPN / General Setup / IPsec**, activez "Enable", puis appliquez les paramètres.

2. Créez des profils Site-to-Site IPsec pour Filiale A.

Accédez à **VPN / Site to Site VPN**, cliquez sur "+Add".
Sous Général : Entrez un nom de profil, activez le profil, sélectionnez "Dial-In" comme Direction et "IPsec" comme Type de VPN. Sélectionnez IKEv1/v2 comme Protocole IPsec Dial-In.
Sous Authentification IKE : Activez "