Mettre en place un Remote VPN avec VMware - Historique des versions

Jbourgeois2c800 : Ajout catégorie VCD

2023-01-25T09:12:40Z

Ajout catégorie VCD

Cbrochot1072d le 22 septembre 2021 à 12:15

2021-09-22T12:15:31Z

Ccamus85a7c le 22 juillet 2021 à 15:33

2021-07-22T15:33:21Z

Ccamus85a7c le 17 juillet 2021 à 23:59

2021-07-17T23:59:22Z

Ccamus85a7c le 8 juillet 2021 à 02:41

2021-07-08T02:41:14Z

Ccamus85a7c le 6 juillet 2021 à 03:46

2021-07-06T03:46:24Z

Ccamus85a7c : Page créée avec « ==Mettre en place un Remote VPN avec un infrastructure VMware Cloud Director== VMware Cloud Director propose la possibilité de mettre en place un VPN site à site mais... »

2021-07-06T03:44:34Z

Page créée avec « ==Mettre en place un Remote VPN avec un infrastructure VMware Cloud Director== VMware Cloud Director propose la possibilité de mettre en place un VPN site à site mais... »

Nouvelle page

==Mettre en place un Remote VPN avec un infrastructure VMware Cloud Director==

VMware Cloud Director propose la possibilité de mettre en place un VPN site à site mais ne propose pas de Remote VPN.

Nous avons donc utilisé les fonctionnalités d'un serveur VPN pour réaliser cette fonction.

Nous avons reproduit l'architecture suivante :

[[Fichier:Schema.png|600px]]

Dans cet exemple, le Serveur VPN est un serveur Ubuntu.

==Configuration==

===Configuration de VMware Cloud Director===

Dans un premier temps nous allons configurer la partie réseau de VMware Cloud Director.

Pour cela, il vous faut dans un premier temps configurer votre Edge (Pare-feu Vmware).

Pour cela, il vous faut aller dans votre VDC (Datacenter Virtuel)

[[Fichier:Vmware.PNG|1000px]]

Il vous faut ensuite aller sur votre Edge.

[[Fichier:Edge.PNG|1000px]]

Vous pourrez alors gérer les règles de pare-feu et de NAT à ce endroit.

[[Fichier:Firewall.PNG|1000px]]

Vous pourrez créer de nouvelles règles de pare-feu selon vos besoins.

[[Fichier:Firewall2.PNG|1000px]]

Dans cet exemple nous n'avons pas mis de restriction sur le pare-feu.

Les règles de pare-feu sont selon vos besoin, le mieux étant de restreindre au maximum les flux non désirés.

Pour ce qui est du NAT, nous avons mis en place le NAT suivant :

[[Fichier:NAT.PNG|1000px]]

Les deux lignes importantes sont celle translatant votre IP publique vers l'IP de votre Serveur VPN.

Vous devez ensuite configurer le réseau :

[[Fichier:Reseau.PNG|1000px]]

Il est important de choisir "Acheminé" ou "Routed" pour que l'IP publique de votre Serveur VPN soit accessible.

[[Fichier:Reseau2.PNG|1000px]]

Il vous faut ensuite définir le Edge concerné.

[[Fichier:Reseau3.PNG|1000px]]

Vous devez également définir votre réseau ainsi que les IP dont il dispose.

[[Fichier:Reseau4.PNG|1000px]]

[[Fichier:Reseau5.PNG|1000px]]

Vous pouvez sélectionner les DNS que vous souhaitez.

[[Fichier:Reseau6.PNG|1000px]]

Et enfin un bref récapitulatif :

[[Fichier:Reseau7.PNG|1000px]]

Pour ce qui est de la configuration de VMware, chaque machine créée sur ce réseau avec une IP du slash attribué devrait être joignable.

===Configuration du Serveur===

Passons maintenant à la partie configuration du serveur VPN. A ce stade, votre Serveur VPN doit être joignable sur son IP publique et être capable de communiquer avec d'autre machines du même réseau.

Pour cela, nous avons utilisé OpenVPN.

Dans un premier temps, vous devez éditer le fichier /etc/sysctl.conf et décommenter la ligne net.ipv4.ip_forward=1 pour permettre au serveur de transmettre les paquets.

Vous devez ensuite faire la commande :

<syntaxhighlight>

sysctl -p

</syntaxhighlight>

Une fois cette partie faite, vous devez ouvrir les ports de votre pare-feu avec les commandes suivantes :
<syntaxhighlight>

ufw allow 22/tcp
</syntaxhighlight>
<syntaxhighlight>

ufw allow 1194/udp
</syntaxhighlight>
<syntaxhighlight>

ufw allow 51820/udp
</syntaxhighlight>
<syntaxhighlight>

ufw enable
</syntaxhighlight>

Vous pouvez vérifier que ces commandes sont prises en compte avec :
<syntaxhighlight>

ufw status verbose
</syntaxhighlight>

Il faut en suite modifier le fichier /etc/default/ufw et remplacer DEFAULT_FORWARD_POLICY="DROP" par DEFAULT_FORWARD_POLICY="ACCEPT".

Puis éditer /etc/ufw/before.rules en y ajoutant le paragraphe suivant :

[[Fichier:RulesVPN.PNG]]

Vous devrez ensuite faire les commandes suivantes :
<syntaxhighlight>

wget -O - https://swupdate.openvpn.net/repos/repo-public.gpg|apt-key add -
</syntaxhighlight>
<syntaxhighlight>

echo "deb http://build.openvpn.net/debian/openvpn/<version> <osrelease> main" > /etc/apt/sources.list.d/openvpn-aptrepo.list
</syntaxhighlight>

Il vous faut remplacer la version par l'une des suivantes selon votre choix :

stable: stable releases only - no alphas, betas or RCs
testing: latest releases, including alphas/betas/RCs
release/2.3: OpenVPN 2.3 releases
release/2.4: OpenVPN 2.4 releases, including alphas/betas/RCs
release/2.5: OpenVPN 2.5 releases, including alphas/betas/RCs

de même pour osrealease :

wheezy (Debian 7.x)
jessie (Debian 8.x)
stretch (Debian 9.x)
buster (Debian 10.x)
precise (Ubuntu 12.04)
trusty (Ubuntu 14.04)
xenial (Ubuntu 16.04)
bionic (Ubuntu 18.04)
focal (Ubuntu 20.04)
<syntaxhighlight>

apt-get update && apt-get install openvpn
</syntaxhighlight>
<syntaxhighlight>

systemctl start openvpn.service
</syntaxhighlight>
<syntaxhighlight>

cd /root/
</syntaxhighlight>
<syntaxhighlight>

git clone https://github.com/OpenVPN/easy-rsa
</syntaxhighlight>
<syntaxhighlight>

cd easy-rsa/easyrsa3/
</syntaxhighlight>
<syntaxhighlight>

./easyrsa init-pki
</syntaxhighlight>
<syntaxhighlight>

./easyrsa build-ca
</syntaxhighlight>
<syntaxhighlight>

./easyrsa build-client-full
</syntaxhighlight>

-> Sert à créer le certificat client
<syntaxhighlight>

./easyrsa build-server-full
</syntaxhighlight>

-> Sert à créer le certificat serveur
<syntaxhighlight>

cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf /etc/openvpn/
</syntaxhighlight>
<syntaxhighlight>

cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn/
</syntaxhighlight>
<syntaxhighlight>

cd /etc/openvpn
</syntaxhighlight>
<syntaxhighlight>

gunzip /etc/openvpn/server.conf.gz
</syntaxhighlight>

Vous pouvez ensuite modifier à votre convenance le fichier server.conf.

Nous sommes parvenu au résultat suivant :
<syntaxhighlight>

port 1194
proto udp4
dev tun
ca /root/easy-rsa/easyrsa3/pki/ca.crt
cert /root/easy-rsa/easyrsa3/pki/issued/server.crt
key /root/easy-rsa/easyrsa3/pki/private/server.key # This file should be kept secret
dh /root/easy-rsa/easyrsa3/pki/dh.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist /var/log/openvpn/ipp.txt
client-to-client
keepalive 10 120
cipher AES-128-CBC
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
verb 3
explicit-exit-notify 1
</syntaxhighlight>

Vous pouvez ensuite faire la commande openvpn server.conf afin de démarré le serveur VPN.

Vous devriez donc avoir une nouvelle interface tun0 avec une IP du slash choisi.

===Configuration du client VPN===

Nous avons choisi d'installer ce client sur un Debian, cependant, il est possible de l'installer sur tout système d'exploitation.

Pour l'installation, vous devez faire les commandes suivantes :
<syntaxhighlight>

apt-get install openvpn
</syntaxhighlight>
<syntaxhighlight>

cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf /etc/openvpn/
</syntaxhighlight>
<syntaxhighlight>

cd /etc/openvpn/
</syntaxhighlight>
<syntaxhighlight>

vi client.conf
</syntaxhighlight>
<syntaxhighlight>

mkdir easy-rsa
</syntaxhighlight>
<syntaxhighlight>

cd easy-rsa/
</syntaxhighlight>
<syntaxhighlight>

mkdir keys
</syntaxhighlight>

Vous devez ensuite importer vos fichier ca.crt ainsi que le certificat et la clé privée du client sur le poste client VPN puis éditer votre fichier client.conf.

Dans notre exemple nous obtenons le résultat suivant :
<syntaxhighlight>

client
dev tun
proto udp4
remote 178.170.34.2 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/celien.crt
key /etc/openvpn/easy-rsa/keys/celien.key
remote-cert-tls server
cipher AES-128-CBC
verb 3
</syntaxhighlight>

A partir de ce moment la configuration de votre VPN devrait fonctionner.

Vous pouvez démarrer le client VPN avec la commande : openvpn client.conf

Votre Client et serveur devraient à présent être capables de communiquer sur les IP liées au VPN.

Nous avons pu constater que pour que les machines présentes sur le réseau privé du serveur VPN, puissent communiquer, il est nécessaire d'ajouter une route comme celle-ci :
<syntaxhighlight>

route add -net <votre réseau VPN> netmask <votre masque> gw <l'IP du serveur VPN>
</syntaxhighlight>

A présent chaque équipement devrait être capable de communiquer par le biai du VPN.

[[Catégorie:VMWare]]

← Version précédente		Version du 25 janvier 2023 à 09:12
Ligne 341 :		Ligne 341 :

	[[Catégorie:VMWare]]		[[Catégorie:VMWare]]
		+	[[Catégorie:VCD]]

← Version précédente		Version du 22 septembre 2021 à 12:15
Ligne 1 :		Ligne 1 :
		+
		+	{{#seo:
		+	\|title=Mettre en place un Remote VPN avec VMware
		+	\|title_mode=append
		+	\|keywords=these,are,your,keywords
		+	\|description=Comment mettre en place un Remote VPN avec VMware
		+	\|image=Uploaded_file.png
		+	\|image_alt=Wiki Logo
		+	}}
		+
	==Mettre en place un Remote VPN avec un infrastructure VMware Cloud Director==		==Mettre en place un Remote VPN avec un infrastructure VMware Cloud Director==

@@ Ligne 94 : / Ligne 94 : @@
 </syntaxhighlight>
 Une fois cette partie faite, vous devez ouvrir les ports de votre pare-feu avec les commandes suivantes :
@@ Ligne 124 : / Ligne 127 : @@
 [[Fichier:RulesVPN.PNG]]

@@ Ligne 323 : / Ligne 323 : @@
 </syntaxhighlight>
-A présent chaque équipement devrait être capable de communiquer par le biai du VPN.
+A présent chaque équipement devrait être capable de communiquer par le biais du VPN.
 [[Catégorie:VMWare]]

@@ Ligne 137 : / Ligne 137 : @@
 Il vous faut remplacer la version par l'une des suivantes selon votre choix :
 stable: stable releases only - no alphas, betas or RCs
 testing: latest releases, including alphas/betas/RCs
 release/2.3: OpenVPN 2.3 releases
 release/2.4: OpenVPN 2.4 releases, including alphas/betas/RCs
 release/2.5: OpenVPN 2.5 releases, including alphas/betas/RCs
@@ Ligne 147 : / Ligne 152 : @@
 wheezy (Debian 7.x)
 jessie (Debian 8.x)
 stretch (Debian 9.x)
 buster (Debian 10.x)
 precise (Ubuntu 12.04)
 trusty (Ubuntu 14.04)
 xenial (Ubuntu 16.04)
 bionic (Ubuntu 18.04)
 focal (Ubuntu 20.04)
 <syntaxhighlight>
@@ Ligne 183 : / Ligne 197 : @@
 ./easyrsa build-ca
 </syntaxhighlight>
 <syntaxhighlight>

@@ Ligne 302 : / Ligne 302 : @@
 Votre Client et serveur devraient à présent être capables de communiquer sur les IP liées au VPN.
-Nous avons pu constater que pour que les machines présentes sur le réseau privé du serveur VPN, puissent communiquer, il est nécessaire d'ajouter une route comme celle-ci :
+Nous avons pu constater que pour que les machines présentes sur le réseau privé du serveur VPN, puissent communiquer, il est nécessaire d'ajouter une route comme celle-ci sur les machines :
 <syntaxhighlight>