Nous disposons d'une architecture site à site reliant deux filiale de l'entreprise "CosmoTech". Cette dernière dispose de deux sites géographiques qui sont "LONDRES" (Royaume-Uni) et le site de "LILLE" (France) et ces derniers ont tout deux, deux firewalls Stormshield Network Security (SNS).

Le site de Londres souhaite accéder à un site internet français (ex : "impots.gouv.fr") et se retrouve bloqué en raison de restrictions géographiques imposées par le site Web. Notre objectif est de mettre en place un moyen de rendre accessible ce site internet depuis le site de LONDRES, par le paramétrage d'une politique IPSec afin de router le flux en provenance du site de LONDRES dans le tunnel VPN IPSec afin qu'il sorte par l'accès Internet de LILLE, en France.

Situation

L'entreprise dispose de l'infrastructure suivante :

• L'entreprise dispose de deux réseaux locaux :
• Site "LAN-LONDON" : 10.160.80.0/24
• Site "LAN-LILLE" : 10.160.90.0/24
• Le site de LONDRES établie un tunnel IPSec vers le site de LILLE.
• L'accès au site Web "impots.gouv.fr" doit se réaliser depuis le site de LONDRES en passant par le tunnel, à destination de LILLE.
• Le site Web doit être accessible par le réseau local de LONDRES (10.160.80.0/24).

Méthode de configuration

Au cours de ce tutoriel, nous allons vous présenter deux moyens de réaliser cette configuration et de la manière à définir :

• Tunnel IPSec par politique : Un tunnel VPN par politique chiffre et encapsule le trafic entre deux réseaux ou machines, décrits par cette politique.,
• Tunnel IPSec par route (VTI) : Un tunnel VPN par route utilise des interfaces virtuelles vues comme des points d’entrée et de sortie du trafic passant à travers le tunnel. Ce trafic est décrit par des routes..

Le résultat sera le même, c'est au niveau de la création du tunnel IPSec et de la logique de la maintenance des réseaux à traverser dans le tunnel qui changera. Si aucun tunnel n'a été créé entre les deux sites, dans votre cas, nous vous recommandons de suivre la méthode de création d'un tunnel IPSec par VTI.

Ces politiques sont à définir dans la partie CONFIGURATION > VPN > VPN IPSec > Site à Site (Gateway-Gateway).

Un tutoriel est disponible sur VemoTech.fr afin de présenter un mode opératoire destiné à la création d'un tunnel IPSec site à site

Tunnel IPSec par politique

Nous devons ajouter une Phase 2 dans le tunnel IPSec, en précisant le coupe "réseau local source" (ici : réseau local "LAN-LONDON" - 10.160.80.0/24) et l'adresse IP Publique du site WEB (ici : "impots.gouv.fr" - adresse IP : "145.242.11.100").

On inversera le local / remote en fonction du firewall où vous ajoutez la phase 2.

Pare-feu de LONDRES

• Réseau local : "LAN-LONDON"
• Réseau distant : objet machine "impots.gouv.fr"

Pare-feu de LILLE

• Réseau local : objet machine "impots.gouv.fr"
• Réseau distant : "LAN-LONDON"

Tunnel IPSec par VTI

Ici, nous allons créer notre politique IPSec avec chacune de nos VTI sources distinctes :

• Site de "LONDRES" : VTI-LOND-LILLE - 10.10.4.1/30
• Site de "LILLE" : VTI-LILLE-LOND - 10.10.4.2/30

On inversera le local / remote en fonction du firewall où vous ajoutez la phase 2.

Pare-feu de LONDRES

Pare-feu de LILLE

Routage

Afin de transiter notre réseau, nous devons spécifier le fait de faire passer notre site internet Impotts.gouv.fr à être encapsulé dans le tunnel IPSec de niveau 3. Deux modes opératoires sont présentés :

• Le routage statique,
• Le routage PBR (routage par politique).

Routage statique

Nous devons créer une règle de routage pour le site de destination (impots.gouv.fr) en passant par l'interface locale VTI, puis en routant le trafic vers l'interface VTI en face.

Cette partie se réalisera uniquement sur le firewall en FRANCE, celui qui a accès au site Web.

Soit les critères techniques suivants :

• Réseau de destination : site internet à "encapsuler" à travers le tunnel IPSec par VTI - objet machine "impots.gouv.fr"
• Interface : spécifier l'interface VTI du firewall (ici : VTI-LOND-LILLE pour le firewall de LONDRES)
• Passerelle : VTI en face du tunnel IPSEC - depuis le firewall de LONDRES, mettre "VTI-LILLE-LOND"

Routage PBR

La seconde méthode bien plus fine et plus ciblée est de réaliser le routage par politique (PBR = Policy-Based Routing), qui sont des règles de routage basé sur le filtrage.

L'objectif est donc de construire notre règle de filtrage Internet classique (Réseau source local => Internet => Ports de destination) et de spécifier en plus dans la partie "Action", la VTI en face du site.

Vue firewall LONDRES :

Ordre de construction de la règle de filtrage :

• Action : Autoriser ; et spécifier la route : VTI-DISTANTE - spécifier l'interface VTI du firewall (ici : VTI-LOND-LILLE pour le firewall de LONDRES)
• Source : Réseau Local (LAN-LONDON)
• Destination : site internet à "encapsuler" à travers le tunnel IPSec par VTI - objet machine "impots.gouv.fr"
• Port de destination : http ; https et dns

Astuce : double cliquer sur la règle afin d'afficher la fenêtre de configuration de la règle de filtrage :

Cette règle nous permettra donc d'éviter de router chaque site Internet dans le routage statique et ainsi être plus fin sur les permissions d'accès par réseau source.

Ce qui peut être très intéressant également serait de router directement tout "Internet". On choisira alors la destination comportant l'objet "Internet" :

Cette règle de filtrage PBR doit se réaliser sur le firewall qui souhaite router par l'adresse IP en face uniquement (et non sur les deux) ! 😉

Création des règles de filtrage & de NAT

Nous devons ensuite ajouter une règle de NAT sur le Firewall de LILLE afin que le site internet "NAT" le flux en provenance du réseau local de LONDRES par son IP Publique. À noter qu'il faut impérativement activer l'option "NAT dans Tunnel IPSec" au niveau de cette règle de NAT. Pour rappel, cette partie se réalisera uniquement sur le firewall en FRANCE, celui qui a accès au site Web.

Politique IPsec "Policy Based"

On va créer la règle de filtrage qui autorisera depuis le site, donc le réseau local de LONDRES, à accéder à la ressource qui sera nattée dans le tunnel IPSec :

• Source : Réseau Local (LAN-LONDON) ;
• Destination : objet machine "impots.gouv.fr" ;
• Port de destination : il faut spécifier les ports (pas de "Any" !) - 'http' et 'https' (qui doivent correspondre à la règle de NAT) et aux ports Web

Nous allons définir la politique NAT suivante :

• Source :
• Réseau Local (LAN-LONDON)
• Destination originale :
• Machine de destination : objet machine "impots.gouv.fr"
• Port de destination : il faut spécifier les ports (pas de "Any" !) - 'http' et 'https' (qui doivent correspondre à la règle de filtrage)
• Source translatée :
• Machine source translatée : Firewall_out, qui sera l'adresse IP de sortie du firewall (IP publique côté LILLE)
• Port source translaté : "ephemeral_fw" et cocher la case "Choisir aléatoirement le port source translaté"
• Options :
• IMPORTANT : cocher la case : "NAT dans le tunnel IPSec (avant chiffrement, après déchiffrement)"

Politique IPSec par VTI

On va créer la règle de filtrage qui autorisera depuis le site, donc le réseau local de LONDRES, à accéder à la ressource qui sera nattée dans le tunnel IPSec :

• Source : Réseau Local (LAN-LONDON) et VTI source (VTI-LOND-LILLE)
• Destination : objet machine "impots.gouv.fr"
• Port de destination : il faut spécifier les ports (pas de "Any" !) - 'http' et 'https' (qui doivent correspondre à la règle de NAT)

Nous allons définir la politique NAT suivante :

• Source :
• Réseau Local (LAN-LONDON) et VTI source (VTI-LOND-LILLE)
• Interface d'entrée : VTI-LILLE-LOND
• Destination originale :
• Machine de destination : objet machine "impots.gouv.fr"
• Port de destination : il faut spécifier les ports (pas de "Any" !) - 'http' et 'https' (qui doivent correspondre à la règle de filtrage)
• Source translatée :
• Machine source translatée : Firewall_out  qui sera l'adresse IP de sortie du firewall (IP publique côté LILLE)
• Port source translaté : "ephemeral_fw" et cocher la case "Choisir aléatoirement le port source translaté"
• Options :
• IMPORTANT : cocher la case : "NAT dans le tunnel IPSec (avant chiffrement, après déchiffrement)"

Cas d'utilisation avec le routage par politique (PBR)

Un point important concernant la règle de NAT afin d'encapsuler le site Internet : Les accès de filtrage se réaliseront directement dans la politique de filtrage et non plus dans la règle de NAT. On pourra laisser Any en port source et ce sera bien par la règle de filtrage que les ports de destination seront autorisés :

La différence est donc de laisser par défaut "Any", dans la colonne "Trafic original avant translation", au niveau des ports de destination.

Conclusion

Nous pouvons tester l'accessibilité du site internet à travers le site de Londres et nous devrions avoir accès à ce site à travers le tunnel IPSec.

Si vous n'avez pas forcément les moyens de tester ce cas pratique, vous pouvez suivre cette procédure avec un site internet qui affiche l'adresse IP publique, tel que "monip.org" par exemple, ce qui vous permettra de faire la différence avant et après l'application de cette procédure.

Cela est assez pratique dans le premier but de contourner les restrictions géographiques ou restrictions par adresse IP source (exemple : IP source autorisée à accéder à un site américain de streaming par exemple)