Service routage et accès distant (VPN)

L'infrastructure sous-jacente d'un service d'accès réseau complet dans Windows Server 2008 inclut généralement les composants suivants :

• Serveur VPN. Fournit la connectivité à distance en s'appuyant sur des connexions VPN L2TP (Layer Two Tunneling Protocol) ou PPTP (Point-to-Point Tunneling Protocol) sur un réseau public, tel qu'Internet.

• Services d'annuaire d'Active Directory®. Répondent aux demandes d'authentification lors des tentatives de connexion des clients distants.

• Serveur DHCP (Dynamic Host Configuration Protocol). Fournit une configuration IP aux connexions entrantes acceptées pour la connectivité réseau au réseau local de l'entreprise.

• Serveur de stratégie de contrôle d'intégrité NAP. Crée des stratégies de contrôle d'intégrité qui dictent les conditions d'intégrité auxquelles les clients qui se connectent doivent répondre pour pouvoir accéder au réseau.

• Autorité HRA (Health Registration Authority). Délivre des certificats d'intégrité aux clients qui passent avec succès la vérification de la stratégie de contrôle d'intégrité.

• Serveurs de mise à jour. Proposent des services de mise à jour aux clients qui ne répondent pas aux conditions d'intégrité du réseau d'entreprise. Les serveurs de mise à jour sont des serveurs spéciaux sur un réseau limité.

Le rôle Services de stratégie et d'accès réseau dans Windows Server 2008 fournit les solutions de connectivité réseau suivantes :

• Protection d'accès réseau (NAP). Il s'agit d'une technologie de création, d'application et de mise à jour de stratégie de contrôle d'intégrité du client qui est incluse dans le système d'exploitation client Windows Vista™ et dans le système d'exploitation Windows Server 2008. La protection d'accès réseau (NAP) permet aux administrateurs système d'établir des stratégies de contrôle d'intégrité et de les appliquer automatiquement. Ces stratégies définissent les configurations requises en matière de logiciels, de matériel et de mise à jour de sécurité, ainsi que d'autres paramètres. Si des ordinateurs clients ne sont pas conformes à la stratégie de contrôle d'intégrité, vous pouvez restreindre leur accès réseau tant que leur configuration n'a pas été mise à jour dans le but de la rendre conforme. Selon le mode de déploiement de la protection d'accès réseau (NAP) que vous choisissez, les clients non conformes peuvent être automatiquement mis à jour afin que les utilisateurs puissent rapidement bénéficier d'un accès complet au réseau sans avoir à mettre à jour ou reconfigurer manuellement leurs ordinateurs.

• Accès sans fil et câblé sécurisé. Lorsque vous déployez des points d'accès sans fil 802.1X, l'accès sans fil sécurisé offre aux utilisateurs sans fil une méthode d'authentification facile à déployer reposant sur un mot de passe sécurisé. Lorsque vous déployez des commutateurs d'authentification 802.1X, l'accès câblé vous permet de sécuriser votre réseau en veillant à ce que les utilisateurs de l'intranet soient authentifiés avant qu'ils ne puissent se connecter au réseau ou obtenir une adresse IP à l'aide du protocole DHCP.

• Solutions d'accès à distance. Ces solutions vous permettent de proposer aux utilisateurs un accès VPN ou un accès à distance traditionnel au réseau de votre organisation. Vous pouvez également connecter des succursales à votre réseau à l'aide de solutions VPN, déployer des routeurs logiciels complets sur votre réseau et partager des connexions Internet sur l'intranet.
• Gestion centralisée de la stratégie réseau avec un serveur et un proxy RADIUS. Plutôt que configurer la stratégie d'accès réseau au niveau de chaque serveur d'accès réseau, tel que les points d'accès sans fil, les commutateurs d'authentification 802.1X, les serveurs VPN et les serveurs d'accès à distance, vous pouvez créer à un seul et même emplacement des stratégies qui spécifient tous les aspects des demandes de connexion réseau, notamment qui est autorisé à se connecter, à quel moment et quel niveau de sécurité doit être utilisé pour la connexion à votre réseau.

Il est essentiel de bien saisir la différence entre l'authentification et l'autorisation pour comprendre pourquoi les tentatives de connexion sont acceptées ou refusées.

• L'authentification est la vérification des informations d'identification lors de la tentative de connexion. Ce processus consiste à envoyer les informations d'identification du client d'accès à distance au serveur d'accès à distance sous forme de texte en clair ou sous forme chiffrée à l'aide d'un protocole d'authentification.

• L'autorisation est la procédure par laquelle le serveur vérifie que la tentative de connexion est autorisée. La phase d'autorisation ne se déroule qu'en cas de réussite de la phase d'authentification.

L'identification des clients d'accès constitue un problème important en matière de sécurité. En règle générale, les méthodes d'authentification utilisent un protocole d'authentification qui est négocié lors de l'établissement de la connexion.

Vous pouvez déployer le service Serveur DHCP avec le service de routage et d'accès à distance de manière à fournir aux clients d'accès à distance une adresse IP affectée de manière dynamique pendant la connexion. Lorsque vous utilisez ces deux services sur le même serveur, les informations fournies pendant la configuration dynamique le sont d'une manière différente par rapport à la configuration DHCP classique des clients de réseau local.

Pour émuler une liaison point à point, les données sont encapsulées (ou intégrées) dans un en-tête. Cet en-tête contient des informations de routage permettant aux données devant être transmises sur le réseau partagé ou public d'atteindre leur destination. Pour émuler une liaison privée, les données sont chiffrées à des fins de confidentialité. Les paquets qui sont interceptés sur le réseau partagé ou public sont indéchiffrables sans clé de chiffrement. La liaison dans laquelle les données privées sont encapsulées et chiffrées est appelée connexion VPN.

• Connexions VPN d'accès à distance

Les connexions VPN d'accès à distance permettent aux utilisateurs itinérants ou travaillant à leur domicile d'accéder à un serveur sur un réseau privé en utilisant l'infrastructure fournie par un réseau public, comme Internet. Du côté de l'utilisateur, la connexion VPN est une connexion point à point entre l'ordinateur (le client VPN) et le serveur d'une organisation. L'infrastructure exacte du réseau partagé ou public n'a pas d'importance car cette connexion fonctionne logiquement comme si les données étaient envoyées sur une liaison privée dédiée.

• Connexions VPN de site à site

Les connexions VPN de site à site (également appelées connexions VPN routeur à routeur) permettent aux organisations d'utiliser des connexions routées entre des bureaux éloignés les uns des autres ou avec d'autres organisations sur un réseau public tout en assurant la sécurité des communications. Une connexion VPN routée sur Internet fonctionne logiquement comme une liaison de réseau étendue dédiée. Lorsque des réseaux se connectent via Internet, comme illustré dans la figure qui suit, un routeur transmet les paquets à un autre routeur par l'intermédiaire d'une connexion VPN. Du côté des routeurs, la connexion VPN fonctionne comme une liaison de couche de liaison de données.

Le tunneling permet d'encapsuler un paquet utilisant un certain type de protocole dans le datagramme d'un protocole différent. Par exemple, les connexions VPN utilisent le protocole PPTP pour encapsuler des paquets IP sur un réseau public, comme Internet. Vous pouvez également configurer une solution VPN reposant sur le protocole PPTP, L2TP ou SSTP.

Le serveur NPS utilise des stratégies réseau (auparavant appelées stratégies d'accès à distance) et les propriétés de numérotation des comptes d'utilisateurs pour déterminer si une demande de connexion réseau peut être autorisée. Vous pouvez configurer une nouvelle stratégie réseau dans le composant logiciel enfichable MMC Serveur NPS ou Service de routage et d'accès à distance.

Lorsque le serveur NPS exécute le processus d'autorisation d'une demande de connexion, il compare la demande à chaque stratégie réseau de la liste triée de stratégies, en commençant par la première stratégie. S'il trouve une stratégie dont les conditions correspondent à la demande de connexion, le serveur NPS utilise la stratégie correspondante et les propriétés de numérotation du compte d'utilisateur pour réaliser l'autorisation. Si vous configurez les propriétés de numérotation du compte d'utilisateur de manière à accorder ou à contrôler l'accès par le biais d'une stratégie réseau, et si la demande de connexion est autorisée, le serveur NPS applique les paramètres configurés dans la stratégie réseau à la connexion :

• Si le serveur NPS ne trouve pas de stratégie réseau qui corresponde à la demande de connexion, il refuse la connexion, sauf si les propriétés de numérotation du compte d'utilisateur sont configurées pour accorder l'accès.
• Si les propriétés de numérotation du compte d'utilisateur sont configurées pour refuser l'accès, le serveur NPS rejette la demande de connexion.

Connection Manager est un outil de connexion réseau client qui permet à un utilisateur de se connecter à un réseau distant, tel qu'un fournisseur de services Internet ou un réseau d'entreprise protégé par un serveur VPN.

Le Kit d'administration de Connection Manager (CMAK) est un outil que vous pouvez utiliser pour personnaliser l'expérience de connexion à distance des utilisateurs de votre réseau en créant des connexions prédéfinies à des serveurs et des réseaux à distance. Utilisez l'Assistant Kit d'administration de Connection Manager pour créer et personnaliser une connexion pour vos utilisateurs.

Le service de routage et d'accès à distance de Windows Server 2008 propose une fonction de suivi étendue que vous pouvez utiliser pour résoudre les problèmes réseau complexes. À l'aide de la commande Netsh ou par le biais du Registre, vous pouvez activer l'enregistrement des informations de suivi dans des fichiers par les composants de Windows Server 2008.

Pour configurer l'enregistrement des connexions d'accès à distance, ouvrez la console Service de routage et d'accès à distance, cliquez avec le bouton droit sur nom_serveur, puis cliquez sur Propriétés. Cliquez sur l'onglet Enregistrement pour afficher les options disponibles pour le journal de suivi et connaître son emplacement.

• Le serveur NPS peut enregistrer des informations dans une base de données SQL Server et/ou dans un fichier local.