Réseau privé virtuel et translation NAT

Sur cette page, des astuces concernant l'élaboration d'un VPN puis celle d'un NAT.

Dernière mise à jour : 07/04/2005

- Créer un réseau privé virtuel :

Nous allons examiner comment mettre en œuvre un réseau privé virtuel (VPN) sous Windows XP côté serveur (aussi appelé hôte), puis client. Nous pouvons définir un VPN comme une extension d'un réseau privé permettant des connexions sécurisées à travers Internet.
D'une manière plus claire, il vous sera permis à partir d'un ordinateur distant de communiquer avec un ordinateur ou un réseau situé à votre domicile. Cela vous permet de profiter des avantages d'un réseau tout en vous affranchissant des contraintes liées à l'éloignement des deux ordinateurs qui vont communiquer ensemble. Cette connexion logique sur laquelle les données seront encapsulées utilise un protocole de "Tunneling". Nous entendons par là que les données qui vont transiter seront complètement invisibles de l'extérieur (comme quand on passe sous un tunnel). Les avantages en termes de sécurité et le faible coût de mise en œuvre font que ce type de connexion est très répandu dans le monde de l'entreprise.

- Installer un serveur VPN :

C'est par définition l'ordinateur qui acceptera les connexions entrantes. L'ordinateur doit disposer de deux interfaces réseau. Une qui gère l'accès à Internet et une autre qui relie la machine à un réseau local.
1) Cliquez sur Démarrer/Exécuter, puis saisissez : services.msc.
2) Double-cliquez sur le service Routage et accès distant.
3) Dans la zone de texte Type de démarrage, sélectionnez le mode Automatique.
4) Cliquez éventuellement sur le bouton Démarrer.
5) Ouvrez le module Connexions réseau du Panneau de configuration.
Une rubrique Entrant est maintenant apparue avec une icône intitulée Connexions entrantes.
Il vous est maintenant possible de paramétrer votre serveur VPN.
6) Double-cliquez dessus, puis sélectionnez l'onglet Périphériques.
Il n'est pas nécessaire de sélectionner un périphérique.
7) Cochez simplement la case Autoriser d'autres utilisateurs à établir des connexions privées vers mon ordinateur.
8) Cliquez sur l'onglet Utilisateurs.
9) Dans la rubrique Utilisateurs autorisés à se connecter, cochez les noms d'utilisateurs et, éventuellement, créez de nouveaux noms d'utilisateurs.
10) Cochez la case Demander que tous les utilisateurs s'assurent de la sécurité de leurs mots de passe et de leurs données.
11) Cliquez sur l'onglet Gestion de réseau, puis sur l'option Protocole Internet (TCP/IP) et le bouton Propriétés.
12) Cochez la case Autoriser les correspondants appelant à accéder à mon réseau local.
Concernant l'attribution des adresses TCP/IP, vous avez trois possibilités :
* Attribuer les adresses TCP/IP automatiquement avec DHCP : c'est l'ordinateur serveur qui va attribuer dynamiquement une adresse IP à la machine cliente.
* Spécifier des adresses IP : vous avez aussi la possibilité de spécifier une plage d'adresses qui ne doivent pas être celles que vous avez déjà utilisées pour votre réseau local.
* Autoriser l'ordinateur appelant à spécifier sa propre adresse IP : cela est possible à partir du moment où il n'y a pas de risque de collusion avec une adresse IP existante.
Vous devez activer l'accès à votre réseau local.
Validez par OK… Votre serveur VPN est opérationnel ! Attention de ne pas oublier d'activer le partage de connexion Internet si vous voulez que votre client puisse utiliser votre connexion Internet.
- Installer un client VPN :
1) Ouvrez le module Connexions réseau du Panneau de configuration.
2) Cliquez sur le lien Créer une nouvelle connexion, puis sur le bouton Suivant.
3) Cochez le bouton radio Connexion au réseau d'entreprise et cliquez sur Suivant.
4) Cochez le bouton radio Connexion réseau privé virtuel et cliquez sur Suivant.
5) Dans la zone de texte Nom de la société, indiquez le nom de votre connexion.
Vous pouvez choisir de cocher Ne pas établir la connexion initiale ou l'autre bouton radio, puis de sélectionner votre connexion Internet.
6) Dans la zone de texte Nom d'hôte ou adresse IP, indiquez l'adresse IP de la machine serveur.
Si cette dernière ne possède pas d'adresse IP fixe, vous devrez utiliser un service qui attribuera un nom de domaine à votre adresse IP dynamique. Dans ce cas, saisissez le nom de domaine qui a été attribué au serveur. Sinon, vous devrez au préalable informer votre correspondant de l'adresse IP qui vous a été attribuée par votre fournisseur d'accès Internet.
7) Validez pour le reste et avec le bouton droit de la souris cliquez sur votre nouvelle connexion, puis sur la commande Propriétés.
8) Cliquez sur l'onglet Gestion de réseau, puis sur Protocole Internet (TCP/IP) et le bouton Propriétés.
En fonction de vos paramétrages sur la machine serveur, précisez si la machine cliente obtiendra automatiquement une adresse IP, ou bien saisissez l'adresse IP voulue. Par ailleurs et si vous désirez profiter du partage de connexion Internet installé sur la machine serveur, cliquez sur le bouton Avancé et décochez la case Utiliser la passerelle par défaut pour le réseau distant. Dans le cas contraire, votre adresse IP étant non routable, il ne vous sera pas possible de profiter du partage de connexion Internet. Même remarque si vous voulez éviter que la machine cliente perde sa connexion à Internet.
- Accéder à un partage de fichiers au travers d'un VPN :
C'est pratiquement la principale raison de la mise en œuvre d'un réseau privé virtuel et, en général, là où ça coince le plus… Une fois la connexion établie, une petite icône représentant la connexion entrante viendra se placer dans la zone de notification de la barre des tâches. Si vous double-cliquez dessus puis sur l'onglet Détails, vous pourrez connaître l'adresse IP qui a été attribuée à la machine cliente.
Cette boîte de dialogue fournit l'identifiant de la personne qui est actuellement connectée sur votre ordinateur.
De l'ordinateur distant vous devez utiliser les chemins UNC si vous souhaitez accéder à un partage. Par exemple, imaginons que la machine serveur soit nommée Ordinateur1 et que le dossier partagé s'appelle Partage. À partir de la machine cliente, vous devrez saisir cette adresse : \\Ordinateur1\Partage. Vous pouvez aussi bien remplacer Ordinateur1 par l'adresse IP de la machine serveur. Vous pouvez dès lors procéder aux mêmes tâches de transfert de fichiers que si vous étiez connecté à un lecteur réseau.
- Faire de la translation NAT :
Nous allons prendre un exemple relativement simple. Si vous disposez d'un routeur, vous ne pourrez pas faire fonctionner une de vos machines en tant que serveur FTP. Seule l'adresse IP du routeur sera visible sur Internet, mais plus aucune adresse IP interne à votre réseau local. Afin de faire fonctionner un serveur FTP permettant d'échanger ses données en utilisant un logiciel de Peer to Peer comme Emule, vous devez demander à votre routeur d'acheminer les demandes transmises par le port 21 sur la machine de votre réseau qui fait office de serveur FTP. Nous allons nous servir de la commande Telnet afin de dialoguer avec le modem-routeur.
1) Cliquez sur Démarrer/Exécuter, puis saisissez : telnet 10.0.0.138.
Cette adresse IP est par défaut celle affectée à votre modem.
La documentation de votre modem peut indiquer une autre adresse IP.
2) À l'invite User, validez simplement par Entrée.
3) Saisissez la commande nat.
Le prompt [nat] indique simplement que vous êtes dans le bon répertoire.
4) Saisissez la commande create.
5) Saisissez le port à définir à la suite de la commande protocol.
Dans notre cas, c'est le protocole TCP.
6) Répondez aux autres demandes d'information de cette façon :
- Inside_addr : 10.0.01. Indiquez ici l'adresse IP de l'ordinateur qui va faire office de serveur.
- [inside_port] : 21. Nous définissons ainsi le port d'écoute.
- outside_addr : 0.0.0.0. En saisissant cette adresse, toutes les machines quelle que soit leur adresse IP pourront se connecter.
- [outside_port] : 21. Nous donnons le même port par défaut pour les machines distantes qui se connecteront sur notre serveur FTP.
Cette règle NAT est supprimée simplement en saisissant la commande Delete.
7) Lancez maintenant Emule afin de lui indiquer quels sont les ports redirigés.
Par défaut, Emule utilise le port TCP 4660 et UDP 4670.
8) Cliquez sur le menu Connexion et dans la rubrique Port client, indiquez ces deux valeurs.