SECURITE RESEAUX

RSI3

Enseignant: DANIELKEMAYOU
Année académique 2023/2024
I-NOTIONS DE BASE EN SECURITE

II- VLANS

III- FIREWALL/IDS/IPS

IV- VPN

V- POLITIQUES DE SECURITE

VI- ARCHITECTURES SECURITE

VII- CAS PRATIQUE 2

 I- NOTIONS DE BASE EN SECURITE

[Link]
[Link]

3
II-VLANS (Virtual Lan)

4
II-VLANS (Virtual Lan)

5
II-VLANS (Virtual Lan)

6
II-VLANS (Virtual Lan)

7
II-VLANS (Virtual Lan)

8
II-VLANS (Virtual Lan)

9
II-VLANS (Virtual Lan)

10
II-VLANS (Virtual Lan)

11
II-VLANS (Virtual Lan)

12
II-VLANS (Virtual Lan)

13
II-VLANS (Virtual Lan)

14
II-VLANS (Virtual Lan)

15
 II-VLANS (Virtual Lan)
Que faut-il configurer lorsque l’on veut intégrer les vlans dans son
reseaeu ?

[Link] une liaison fonctionnelle entre le switch et le routeur.

2.Définir la liaison entre le switch et le routeur comme un « trunk »
[Link]éer les vlans sur le switch
[Link] les interfaces désirées dans les différents vlans
(uniquement utiles pour l’administration du switch).
[Link] chaque VLAN sur le switch, créer une sous interface (sur celle
utilisée par le trunk avec le router).

16
 II-VLANS (Virtual Lan)
Exemple concret
On dispose d’un Switch (24 ports FastEthernet, 2 ports Gigabits)
et d’un routeur ( 1 port Gigabit, 1 port série). On souhaite diviser
le switch en 4 VLANS diposant chacun de 6 Interfaces Fa.
1.VLAN1: [Link] / [Link] Fa0/1-Fa0/6
2.VLAN2: [Link] / [Link] Fa0/7-Fa0/12
3.VLAN3: [Link] / [Link] Fa0/13-Fa0/18
4.VLAN4: [Link] / [Link] Fa0/19-Fa0/24

17
 II-VLANS (Virtual Lan)
On entre en mode de configuration:

On configure l’ip du VLAN1 (vlan par défaut) en [Link] / [Link]

18
 II-VLANS (Virtual Lan)
On crée et on configure les VLAN2, 3 et 4 avec respectivement les adresses
[Link], [Link] et [Link] et un masque [Link].

19
 II-VLANS (Virtual Lan)
On place maintenant les interfaces dans les vlans.

20
 II-VLANS (Virtual Lan)
On vérifie que tout est bien en place. (on utilise ici « do show vlan »
puisque la commande « show vlan » n’est pas disponible en mode
config).

21
 II-VLANS (Virtual Lan)
On passe maintenant à la configuration de la liaison avec le routeur
qui doit être un trunk. On utilise ici l’interface Gigabit 1/1.

22
 II-VLANS (Virtual Lan)
On va s’occuper maintenant de la configuration du routeur, sur lequel
on créera des sous-interfaces pour chaque VLAN supplémentaires
créés. Et de les configurer (IP, …). A noter qu’il faut configurer
l’encapsulation de la sous interface pour pouvoir lui attribuer une
adresse IP.

Ceci correspond à l’adresse principale de l’interface, et également au

VLAN1 coté router pour intercommunication entre les vlans
23
 II-VLANS (Virtual Lan)
Créons maintenant la sous-interface pour le VLAN2.

24
 II-VLANS (Virtual Lan)
On fait de même pour les interfaces relatives aux VLAN 3 et 4.

25
 II-VLANS (Virtual Lan)
VTP (VLAN TRUNKING PROTOCOL POUR LA SIMPLIFIER LA VIE AVEC LES VLANS

Le switch possède 3 modes VTP: client, transparent ou server (acitf par

défaut):

•VTP Server: switch qui crée les annonces VTP

•VTP Client: switch qui reçoit, se synchronise et propage les annonces

VTP

•VTP Transparent: switch qui ne traite pas les annonces VTP 26

 II-VLANS (Virtual Lan)
VTP (VLAN TRUNKING PROTOCOL POUR LA SIMPLIFIER LA VIE AVEC LES VLANS

27
 II-VLANS (Virtual Lan)
VTP (VLAN TRUNKING PROTOCOL POUR LA SIMPLIFIER LA VIE AVEC LES VLANS

28
 II-VLANS (Virtual Lan)
VTP (VLAN TRUNKING PROTOCOL POUR LA SIMPLIFIER LA VIE AVEC LES VLANS

29
 II-VLANS (Virtual Lan)
VTP (VLAN TRUNKING PROTOCOL POUR LA SIMPLIFIER LA VIE AVEC LES VLANS

30
 III-FIREWALL/IDS/IPS

A- FIREWALL

1- Définition

2- Importance

3- Fonctionnement

4- Type de firewall

5- Cas pratique Firewall (IPTABLES/PFSENSE)

31
 III-FIREWALL/IDS/IPS
1- Définition

Un Firewall (ou Pare-feu) est un logiciel et/ou un matériel

permettant de faire respecter la politique de sécurité du réseau,
celle-ci définissant quels sont les types de communications
autorisés sur ce réseau informatique.
Il surveille et contrôle les applications et les flux de données
(paquets).
parfois appelé coupe-feu, garde-barrière, barrière de sécurité

•32
 III-FIREWALL/IDS/IPS
2- Importance
Alors qu’un logiciel antivirus ou antispam vous aide à protéger votre
système de fichiers contre les programmes malfaiteurs, l’utilisation de pare-
feu permet d’autoriser ou bloquer le trafic réseau. Elle empêche ainsi les
attaques ou les menaces externes d’accéder à votre système. De plus,
d’autres menaces peuvent se propager d’un ordinateur à l’autre sans que
l’utilisateur s’en aperçoive. Si l’un de ces ordinateurs a des paramètres de
sécurité faibles ou des vulnérabilités informatiques non corrigées, des
attaquants peuvent donc s’infiltrer dans le système sans que l’utilisateur ne
le remarque. L’utilisateur ne se rendra jamais compte que son système est en
danger car la menace s’infiltre furtivement dans son ordinateur. C’est
exactement là que fonctionne la protection par les pare-feux.
Il faut ajouter qu’un pare-feu entreprise peut être un logiciel ou du matériel
sous forme d’appareil qui se connecte entre le réseau et votre ordinateur
hôte. Il peut également s’agir d’un programme installé sur le routeur lui-
même et qui agit comme un pare-feu. 33
 III-FIREWALL/IDS/IPS
3- Fonctionnement Firewall
Le pare-feu est jusqu'à ces dernières années considéré comme une des pierres angulaires
de la sécurité d'un réseau informatique (il perd en importance au fur et à mesure que les
communications basculent vers le HTTP sur TLS, court-circuitant tout filtrage). Il
permet d'appliquer une politique d'accès aux ressources réseau (serveurs).

Il a pour principale tâche de contrôler le trafic entre différentes zones de confiance, en

filtrant les flux de données qui y transitent. Généralement, les zones de confiance
incluent Internet (une zone dont la confiance est nulle) et au moins un réseau interne
(une zone dont la confiance est plus importante).

Le but est de fournir une connectivité contrôlée et maîtrisée entre des zones de
différents niveaux de confiance, grâce à l'application de la politique de sécurité et d'un
modèle de connexion basé sur le principe du moindre privilège.

34
 III-FIREWALL/IDS/IPS
3- Fonctionnement Firewall
Le filtrage se fait selon divers critères. Les plus courants sont :

l'origine ou la destination des paquets (adresse IP, ports TCP ou UDP,

interface réseau, etc.) ;
les options contenues dans les données (fragmentation, validité, etc.) ;
les données elles-mêmes (taille, correspondance à un motif, etc.) ;
les utilisateurs pour les plus récents.

Un pare-feu fait souvent office de routeur et permet ainsi d'isoler le

réseau en plusieurs zones de sécurité appelées zones démilitarisées ou
DMZ. Ces zones sont séparées suivant le niveau de confiance qu'on leur
porte.
35
 III-FIREWALL/IDS/IPS
4- TYPE DE FIREWALL
Les pare-feux sont un des plus vieux équipements de sécurité
informatique et, en tant que tel, ont subi de nombreuses évolutions.
Suivant la génération du pare-feu ou son rôle précis, on peut les classer
en différentes catégories.

Pare-feu Traditionnel : (sans états stateless firewall) et (avec état

stateful firewall)
ce sont les firewalls les plus ancien, ce sont des firewalls qui
fonctionnent de la couche 2 à la couche 4 du model OSI, ils sont limités
dans l'acess à certaines fonctionnalités
mais son la base de tous les firewalls.
La maitrise de ces firewall est nécessaire à l'utilisation des autres
firewall plus évolué.
exemple: PIX, IPTABLES, ACL, etc
36
 III-FIREWALL/IDS/IPS
4- TYPE DE FIREWALL

Pare-feu NEXT GEN FIREWALL (NGFW) : ce sont des firewalls de

nouvelle générations

sont arrivés pour palier aux manquements des anciens firewall avec
les avantages suivant

- fonctionne de la couche 2 à la couche 7 du model OSI

-intègre d'autres applications comme les IDS/IPS, Gestionnaire de
bande passante, VPN, Failover/Load balancing, Haute Disponibilité

exemple de firewall: Palo Alto Networks, Fortigate,Cisco Firepower,

Juniper Networks SRX Firewall, Forcepoint, Pfsense, etc
37
 III-FIREWALL/IDS/IPS
5- Cas pratique Firewall (Iptables)
iptables est un logiciel libre qui permet de configurer le pare-feu
Linux (netfilter).
iptables fonctionne sous la forme de chaînes et de règles que l'on y
applique.
iptables est en général inclut dans toutes les distributions Linux et
par défaut.

iptables fonctionne avec des règles que l'on applique à des tables qui
contiennent des chaînes.
La première table est la table filter avec une chaîne INPUT, OUTPUT et
FORWARD.
La seconde table est la table NAT avec une chaîne PREROUTING,
INPUT, OUTPUT, POSTROUTING.
La troisième table est la table MANGE avec les chaines PREROUTING,
POSTROUTING, FORWARD, INPUT, OUTPUT 38
 III-FIREWALL/IDS/IPS
5- Cas pratique Firewall (Iptables)

39
 III-FIREWALL/IDS/IPS
5- Cas pratique Firewall (Iptables)

(Table filter)

•Filter est la table par défaut.

C'est la table utilisée pour définir les règles de pare-feu de la machine.
En effet, cette table filter permet en autre de bloquer ou autoriser les paquets qui entrent
et sortent.
•On y trouve les chaines :
•INPUT : Les paquets à destination du firewall. En général, à destination des processus
locaux.
•OUTPUT : Les paquets sortant du firewall, en général, provenant des processus
locaux.
•FORWARD : Les paquets qui passent à travers le firewall, par exemple, d'une
interface réseau à l'autre ou à destinations d'une autre machine sur le réseau
40
 III-FIREWALL/IDS/IPS
5- Cas pratique Firewall (Iptables)

(Table nat)

•La table NAT contient les chaînes suivantes :

•PREROUTING : Modifier les paquets AVANT leurs routages. En clair cela, vous
permet de rediriger un paquets vers une autre destination en modifiant l'IP de
destination par exemple (DNAT - Destination NAT)
•POSTROUTING : Modifier les paquets APRES le routage. Cela permet de modifier
par exemple l'IP source, SNAT (Source NAT).
•OUTPUT : NAT pour les paquets générés par le pare-feu.

41
 III-FIREWALL/IDS/IPS
5- Cas pratique Firewall (Iptables)

(Table mangle)
La table Mangle permet de modifier les paquets, elle est surtout utile pour effectuer de
la QoS.
Cette table ne doit pas être utilisé pour modifier les IPs source/destination pour
effectuer du NAT.
Cette table est surtout utilisée pour modifier les composants suivants :
•Les chaînes de la table Mangle. On retrouve les mêmes que précédemment, avec les
mêmes conditions.
•PREROUTING
•OUTPUT
•FORWARD
•INPUT
•POSTROUTING
42
 III-FIREWALL/IDS/IPS
5- Cas pratique Firewall (Iptables)
Les règles
Elle contiennent des sources, destinations, ports, protocoles
auxquelles ont y appliquent une cible (target) à travers le paramètre
-j (jump).
Les cibles possibles :
•ACCEPT : le paquet ciblé est autorisé.
•DROP/DENY : Le firewall abandonne le paquet. Aucune réponse n'est faite à
la cible.
•REJECT : Le paquet est rejeté, un paquet ICMP destination-unreachable est
envoyé en retour à la source pour le notifier.
•QUEUE : ajoute la règle dans une liste d'attente consultable par des
programmes de l'environnement utilisateur, comme des applications réseaux.
•RETURN : permet de revenir à la chaine principale dans le cas où la cible
RETURN est utilisée dans une sous-chaîne (oui il est possible d'utiliser des
43
sous-chaînes).
 III-FIREWALL/IDS/IPS
5- Cas pratique Firewall (Iptables)

Les règles:

Ainsi, si l'on veut ajouter une règle en début de la chaîne INPUT, on

obtient :

iptables -I INPUT -s [Link] -j DROP

La chaîne ci-dessus bloque tous les paquets ayant pour source

l'adresse IP [Link].

44
 III-FIREWALL/IDS/IPS
5- Cas pratique Firewall (Iptables)

Les règles:

Pour aller plus loin dans les paramètres :

-i interface réseau entrant
-o interface réseau sortante
-s IP source - on peut aussi utiliser des masques de sous-réseau -
[Link]/24
-d IP sortante - là aussi on peut utiliser des masques de sous-réseau
--sport : port source (attention, il faut deux -)
--dport : port de destination (attention, il faut deux -)
-p permet enfin de spécifier le protocole : TCP, ICMP, UDP

45
 III-FIREWALL/IDS/IPS
5- Cas pratique Firewall (Iptables)

Les règles:

Ainsi pour bloquer le port 80 en sortant sur le protocole TCP, sur

l'interface eth0 et à destination de l'adresse IP de Google, on obtient :

iptables -I OUTPUT -o eth0 -d [Link] -p tcp --dport 80 -j

DROP

On peut spécifier plusieurs adresses en source ou destination séparées

par des virgule

iptables -A INPUT -s [Link],[Link],[Link] -p tcp --dport 80

-j DROP 46
 III-FIREWALL/IDS/IPS
5- Cas pratique Firewall (PFSENSE)

[Link]
[Link]#rule-processing-order

47
 III-FIREWALL/IDS/IPS

B- IDS/IPS

1- Définition

2- Importance

3- Fonctionnement

4- Type IDS/IPS

5- Cas pratique IDS (SNORT)

48
 III-FIREWALL/IDS/IPS

1- Définition

Un système de détection d’intrusion (IDS) est un

dispositif ou une application logicielle qui surveille un réseau
ou des systèmes pour déceler toute activité malveillante ou
toute violation de politique de sécurité.

“IDS” et “IPS” sont des objets connexes aux pare-feu dans le

rôle de filtrage de sécurité des réseaux. Ils sont le résultat
d’une évolution technologique. Un “IDS” détecte des
intrusions et il devient “IPS” quand il est capable d’y réagir
automatiquement. 49
 III-FIREWALL/IDS/IPS
2- Importance

Bien qu’ils soient tous deux liés à la sécurité du réseau, un IDS se

distingue d’un pare-feu en ce sens qu’un pare-feu surveille les intrusions
vers l’extérieur afin de les empêcher de se produire. Les pare-feu limitent
l’accès entre les réseaux pour prévenir les intrusions et ne signalent pas
une attaque de l’intérieur du réseau. Un IDS décrit une intrusion suspectée
une fois qu’elle a eu lieu et signale une alarme. Un IDS surveille
également les attaques provenant de l’intérieur d’un système. On y
parvient traditionnellement en examinant les communications réseau, en
identifiant les heuristiques et les modèles (souvent connus sous le nom de
signatures) des attaques informatiques courantes et en prenant des mesures
pour alerter les opérateurs. Un système qui termine les connexions
s’appelle un système de prévention des intrusions et effectue le contrôle
d’accès comme un pare-feu de couche d’application. 50
 III-FIREWALL/IDS/IPS
3- Fonctionnement
•La majorité des systèmes de prévention des intrusions utilisent l’une des trois
méthodes de détection suivantes : l’analyse basée sur la signature, l’analyse statistique
des anomalies et l’analyse du protocole dynamique.
•Détection basée sur les signatures : L’IDS basé sur les signatures surveille les
paquets dans le réseau et compare avec les modèles d’attaque préconfigurés et
prédéterminés connus sous le nom de signatures.
•Détection statistique basée sur les anomalies : Un IDS basé sur les anomalies
surveillera le trafic réseau et le comparera à une base de référence établie. La ligne de
base identifiera ce qui est “normal” pour ce réseau - quel type de bande passante est
généralement utilisé et quels protocoles sont utilisés. Elle peut cependant déclencher
une alarme de faux positif pour une utilisation légitime de la bande passante si les
lignes de base ne sont pas configurées intelligemment.
•Détection d’analyse de protocole dynamique : Cette méthode identifie les
déviations des états du protocole en comparant les événements observés avec des “
profils prédéterminés de définitions généralement acceptées de l’activité bénigne “.
51
 III-FIREWALL/IDS/IPS
4- Type IDS/IPS

On identifie différents types de systèmes de détection et de

prévention d'intrusions : N-IDS, H-IDS, N-IPS & H-IPS,
IDS hybrides
N-IDS & H-IDS
Network IDS et Host-based IDS. Il s'agit là de systèmes de détection
d'intrusions basés au niveau réseau ou au niveau des hôtes.
Généralement, un N-IDS sera constitué d'un serveur positionné
judicieusement à un endroit précis du réseau qui analysera tous les flux
réseaux qu'il peut voir, pour générer des alertes de tentatives d'intrusions.
Un H-IDS analysera lui les tentatives d'intrusion au sein d'une machine
en particulier. On pourra là avoir une architecture basée sur un serveur
par hôtes analysées, ainsi qu'un serveur central regroupant les différentes
52
alertes.
 III-FIREWALL/IDS/IPS
N-IPS & H-IPS
Network IPS et Host-based IPS. Il s'agit là de systèmes de prévention
d'intrusions. Lorsqu'un IPS au niveau d'une hote ou du réseau
détectera une tentative d'intrusion, il génrèrera une alerte et enverra
une message à un firewall pour qu'il puisse bloquer le flux suspect.

IDS hybrides
On peut citer "Prelude" comme système hybride.
Un IDS hybride rassemble les caractéristiques de plusieurs IDS. On
pourra alors par exemple placer des sondes sur des points stratégiques
du réseau, ou sur des machines.
Chacune de ces sondes remontera alors des alertes à une machine
centrale, qui va agréger le tout.
53
 III-FIREWALL/IDS/IPS

5- Cas pratique IDS (SNORT)

confère:

[Link]

54
IV-VPN

1- DEFINITION VPN

2- ORIGINE VPN

3- IMPORTANCE VPN

4- TYPE DE VPN

a)SITE-TO-SITE VPN
b)REMOTE-ACCESS VPN

5- TYPE DE PROTOCOLE VPN

6- Cas Pratique Configuration SSTP/MIKROTIK

55
IV-VPN
Introduction au réseau privé virtuel VPN

Un VPN est un réseau privé virtuel qui utilise un réseau

publique comme backbone
ƒ Seuls les utilisateurs ou les groupes qui sont enregistrés
dans ce vpn peuvent y accéder.
ƒ Les données transitent dans un tunnel après avoir été
chiffrées.
ƒ Tout se passe comme si la connexion se faisait en dehors
d'infrastructure d'accès partagé comme Internet

56
IV-VPN

Principe de fonctionnement du VPN

Un réseau VPN repose sur un protocole appelé « protocole de tunneling ».

Ce protocole permet de faire circuler les informations de l’entreprise de
façon cryptée d’un bout à l’autre du tunnel. Ainsi, les utilisateurs ont
l’impression de se connecter directement sur le réseau de leur entreprise.
Le principe de tunneling consiste à construire un chemin virtuel après avoir
identifié l’émetteur et le destinataire. Par la suite, la source chiffre les
données et les achemine en empruntant Ce chemin virtuel. Afin d’assurer
un accès aisé et peu coûteux aux intranets ou aux extranets d’entreprise, les
réseaux privés virtuels d’accès simulent un réseau privé, alors qu’ils
utilisent en réalité une infrastructure d’accès partagée, comme Internet.
Les données à transmettre peuvent être prises en charge par un protocole
différent d’IP. Dans Ce cas, le protocole de tunneling encapsule les données
en ajoutant une entête. Le tunneling est l’ensemble des processus
d’encapsulation, de transmission et de désencapsulation.
57
IV-VPN
1-DEFINITION

Un VPN, on peut dire qu’il s’agit d’une connexion privée sur Internet.
La réponse en version longue … est effectivement plus longue. Un
VPN signifie Virtual Private Network et ce sont peut-être les trois
lettres les plus importantes pour vous et votre sécurité sur
Internet. L’objectif initial d’un VPN est de permettre aux utilisateurs
de se connecter à distance à des réseaux privés via une connexion
publique, alors que les applications dans le monde réel vont toujours
plus loin par rapport à tous les aspects de notre présence en ligne. Les
fonctionnalités actuelles des VPN concernent d’abord la sécurisation
des connexions Internet et permettent de se protéger des logiciels
malveillants et du piratage, en assurant l’anonymat en ligne, le
déblocage des contenus géographiquement restreints et le masquage de
l’emplacement physique. Ce que beaucoup ne savent pas, c’est qu’ils
ont déjà très probablement utilisé un VPN et qu’ils ne le savent même
pas. L’avenir des VPN est illimité.

58
IV-VPN
2-ORIGINE VPN

le VPN est apparu avant même l'avènement de l'Internet et

était étroitement lié à la téléphonie : à ses débuts, il était
utilisé pour connecter les réseaux téléphoniques d'entreprise
(groupes d'utilisateurs fermés) situés dans différents points
géographiques en un seul réseau. Au départ, les
technologies VPN n'étaient utilisées que par les grandes
organisations et les grandes entreprises et permettaient aux
employés de communiquer et d'échanger des données
confidentielles en toute sécurité. Aujourd'hui, cependant,
après une certaine évolution, le VPN est largement utilisé
par les personnes qui veulent masquer leur IP et surfer sur
Internet en toute confidentialité.

59
IV-VPN
3-IMPORTANCE VPN

Il y a de nombreux cas pour lesquels l'utilisation d'un VPN peut se

montrer intéressante. Sachant que votre fournisseur a la capacité de
connaitre quel type de site vous avez consulté. Le site web de
destination connait lui aussi certaines informations dont votre adresse
IP et sa localisation approximative, généralement le pays et la région
ou une ville.
Sachant cela voici plusieurs types d'utilisation pour lesquels un VPN a
de l'importance

Cacher son IP : lorsque vous vous connectez avec un VPN, le site de

destination ne connait que l'adresse IP du VPN, pas la votre qui est
fournie par le fournisseur d'accès

Cacher son trafic et/ou éviter une censure : lorsque vous vous
connectez avec un VPN, votre fournisseur d'accès Internet ne sait pas
quels sites vous avez consultés. Il ne peut pas bloquer non plus les
sites qu'un gouvernement aurait demandé de ne pas afficher. 60
IV-VPN
3-IMPORTANCE VPN

Changer de pays : avec un VPN vous pouvez choisir de vous connecter via
un serveur situé dans d'autres pays. Cela peut par exemple servir à débloquer
du contenu réservé au seul habitant d'un pays. Plus concrètement, si vous êtes
en voyage à l'étranger et que vous souhaitez regarder un replay français, il
faudra vous connecter à un serveur VPN situé en France pour ne pas voir
s'afficher le message "Ce contenu n'est pas disponible dans votre pays". À
l'inverse, en France, si vous souhaitez afficher le catalogue Netflix américain,
il faudra choisir un serveur aux USA
Sécuriser une connexion internet ou Wifi : le chiffrement (appelé souvent à
tort cryptage) brouille les communications entre vous et le serveur VPN qui
vous envoie l'information. C'est une sécurité supplémentaire qui peut
empêcher l'interception de vos données sensibles. C'est notamment important
lorsque vous vous connectez à un réseau Wifi ouvert, dans une gare, un hôtel,
un aéroport, etc.

61
IV-VPN
3-IMPORTANCE VPN

Dans un environnement professionnel : les VPN sont souvent utilisés

par les employés qui travaillent à distance et qui ont besoin d'accéder à
l'intranet de leur entreprise en toute sécurité.
La plupart des VPN sont donc utilisés pour contourner la censure
d'Internet dans les pays où la liberté d'expression n'existe pas ; contourner
les restrictions géographiques imposées aux services de streaming ou
SVOD ; protéger la vie privée lors de l'utilisation de réseaux peer-to-peer
; cacher l'activité Internet aux modérateurs de réseaux locaux tels que
ceux d'un campus universitaire, d'une entreprise ou d'une école ; ou
transmettre de manière sécurisée les identifiants de connexion des
utilisateurs sur le Wi-Fi public lors de l'utilisation d'applications ou de
systèmes d'exploitation obsolètes.

62
IV-VPN
4-TYPE VPN
a)SITE-TO-SITE VPN

63
IV-VPN
4-TYPE VPN
a)SITE-TO-SITE VPN
Un VPN de site à site est également appelé VPN de routeur à routeur et
est principalement utilisé dans les entreprises. Les sociétés, ayant des
bureaux dans différentes zones géographiques, utilisent un réseau privé
virtuel (VPN) de site à site pour connecter le réseau d’un site de bureau
au réseau d’un autre site. Lorsque plusieurs bureaux de la même
entreprise sont connectés à l'aide d'un type de réseau privé virtuel de site
à site, cela s'appelle un réseau privé virtuel basé sur un intranet. Lorsque
les entreprises utilisent le type de VPN de site à site pour se connecter au
bureau d’une autre entreprise, on parle alors de VPN basé sur un
extranet. Fondamentalement, les VPN de site à site créent un pont virtuel
entre les réseaux de bureaux distants géographiquement, les connectent
via Internet et maintiennent une communication sécurisée et privée entre
les réseaux. Etant donné que le VPN de site à site est basé sur la
communication routeur à routeur, dans ce type de VPN, un routeur agit
comme un client VPN et un autre routeur comme un serveur VPN. La
communication entre les deux routeurs ne commence qu'après la
validation de l'authentification entre les deux. 64
IV-VPN
4-TYPE VPN
a)SITE-TO-SITE VPN

Le VPN de site à site est une connexion cryptée entre deux réseaux, qui
pourrait ressembler à plusieurs bureaux créant un réseau partagé ou se
connectant à un hub central qui fournit des ressources hébergées dans
un environnement professionnel.

Revenons à notre discussion sur les réseaux locaux et sur la manière

dont ils peuvent étendre les réseaux privés sur Internet. Eh bien,
supposons que vous ayez deux bureaux séparés avec deux routeurs. Ce
que vous feriez, c'est créer une connexion VPN permanente entre deux
sites, en joignant deux réseaux LAN différents en un seul (qui, dans un
sens, pourrait également être appelé WAN). Comme son nom l'indique,
cette méthode de connexion est connue sous le nom de VPN de site à
site.

65
C'est avantageux si votre entreprise dispose de nombreuses ressources internes.
C'est-à-dire qu'une succursale a un serveur de messagerie, une autre stocke des
données, etc. Avec le site à site, il est possible de donner à chaque département
l'accès à chaque ressource hébergée en se séparant des fournisseurs tiers.

Bien qu'il existe deux types de connexions de site à site, elles peuvent être basées
sur l'intranet ou sur l'extranet.

66
IV-VPN
4-TYPE VPN
b)REMOTE-ACCESS VPN

67
IV-VPN
4-TYPE VPN
b)REMOTE-ACCESS VPN

Parmi les différents types de VPN qui existent, c’est celui qui est le
plus couramment utilisé. Il connecte les utilisateurs à un serveur qui est
situé dans un autre pays, ce qui leur permet de naviguer en utilisant
leur propre réseau tout en partageant des données qui ont été chiffrées.
Il est idéal pour un usage personnel et individuel. Il s’agit d’un outil
particulièrement sécuritaire, car en plus de connecter les
utilisateurs à distance, il anonymise et protège les données.

La majorité des VPN proposés sur le marché utilisent cette

technologie. Leur prix est abordable et ils ne demandent pas de
compétences informatiques particulières : l’interface est généralement
très facile à utiliser.

68
IV-VPN
4-TYPE VPN
b)REMOTE-ACCESS VPN

Le VPN d'accès à distance connecte les utilisateurs individuels à des

réseaux hôtes spécifiques. Cette connexion est temporaire plutôt que
permanente et est utilisée par les employés distants accédant aux fichiers
dans le hub central.

Chaque hôte accédé doit avoir un logiciel VPN correspondant configuré

dans un paramètre d'accès à distance. Lorsque le trafic provient de
l'ordinateur des utilisateurs, le logiciel VPN le crypte avant de l'acheminer
via Internet, puis le décrypte après avoir atteint la cible, et ce processus se
déroule dans les deux sens pendant toute la session.

Il simule l'utilisateur à l'intérieur du réseau local de l'entreprise sans qu'il ait

besoin d'être sur site. Le VPN d'accès à distance nécessite soit un NAS
(serveur d'accès réseau) soit une passerelle VPN pour l'authentification, de
sorte que seule une connexion autorisée serait autorisée.

69
IV-VPN
4-TYPE VPN
b)REMOTE-ACCESS VPN

Outre les cas d'utilisation professionnelle, la même

configuration s'applique à la plupart des produits VPN grand
public. Ils fonctionnent en fournissant de nombreuses
passerelles publiques anonymisées dispersées dans le monde
moyennant des frais d'abonnement pour utiliser leur
infrastructure.

L'accès à distance à un réseau privé virtuel permet à un

utilisateur de se connecter à un réseau privé et d'accéder à ses
services et ressources à distance. La connexion entre
l'utilisateur et le réseau privé est établie via Internet. La
connexion est sécurisée et privée. L'accès à distance à un
réseau privé virtuel est utile pour les utilisateurs
professionnels comme pour les particuliers. 70
IV-VPN
4-TYPE VPN
b)REMOTE-ACCESS VPN

Tout en voyageant, un employé de l’entreprise utilise un

VPN pour se connecter au réseau privé de son entreprise et
accéder à distance aux fichiers et aux ressources du réseau
privé. Les utilisateurs à domicile, ou les utilisateurs privés de
VPN, utilisent principalement les services VPN pour
contourner les restrictions régionales sur Internet et accéder
aux sites Web bloqués. Les utilisateurs soucieux de la
sécurité sur Internet utilisent également les services VPN
pour améliorer leur sécurité et leur confidentialité sur
Internet.

71
 IV-VPN
Différences entre le VPN de site à site et le VPN d'accès à
distance
Site-to-Site VPN Remote-acces VPN

Combine des réseaux de bureau séparés Connecter les utilisateurs individuels aux
Cas d'utilistation
dans un écosystème LAN partagé réseaux internes privés

L'appareil de chaque client doit disposer

Doit être installé dans tous les locaux. d'un logiciel ou de configurations
Chaque extrémité qui s'y connecte accède spécifiques pour se connecter au serveur
Mise en place
automatiquement au réseau interne sans HQ et bénéficier d'un accès au réseau. la
configuration supplémentaire nécessaire. configuration du serveur HQ doit
également accepter le trafic VPN entrant.

Les données transitent par la passerelle Chaque utilisateur crée son propre tunnel
Flux de données du bureau et repartent entièrement VPN lors de la connexion. Les données
cryptées. quittant l'appareil sont désormais cryptées.

Employés travaillant à domicile ou à

Utilisateurs Employés de bureau se connectant à une
d'autres endroits que le bureau.
autre succursale ou au siège social

Autoriser plusieurs utilisateurs à partager Chaque utilisateur crée un tunnel VPN

Type de connexion
un seul tunnel VPN individuel

72
 IV-VPN
5- TYPE DE PROTOCOLE VPN
OPENVPN PPTP L2TP/IPSEC IKEV2 SSTP WIREGUARD
Général Protocole VPN Protocole VPN Protocole tunnel Comme L2TP, SSTP (Secure Socket Un nouveau protocole open
open source assez exploitant le IKEv2 est un Tunneling Protocol) est source expérimental encore en
populaire offrant basique. Il protocole IPSec
protocole tunnel un protocole sécurisé développement qui est loué
des s’agit du pour la sécurité et
qui repose sur utilisé dans le tunnel pour sa rapidité, son efficacité et
fonctionnalités premier le chiffrement.
IPSec pour le VPN. Le protocole, bien sa base de code réduite. Ce
multiplateformes. protocole VPN L2TP ne propose chiffrement. que détenu par dernier point facilite l’inspection
à avoir été pris que des ports Cependant, ce Microsoft, est disponible et l’audit (l’évaluation) du
en charge par UDP (connus protocole est pris pour les utilisateurs protocole.
Windows. pour être plusen charge par Linux et Mac. SSTP
rapides, mais moins de utilise le canal SSL/TLS
moins fiables et
périphériques et (Secure Socket
sécurisés que les
de systèmes. Layer/Transport Layer
ports TCP). Security) sur le port
TCP 443.
Chiffrement OpenVPN offre PPTP exploite Exploite IPSec Tout comme Souvent couplé à l’AES Wireguard utilise l’algorithme de
un chiffrement le protocole pour le L2TP/IPSec, (128 ou 256), SSTP est chiffrement ChaCha20. Un
fort et de qualité MPPE pour chiffrement avec IKEv2 exploite un protocole VPN audit de Wireguard réalisé en
qui exploite chiffrer les l’algorithme 3DES IPSec pour le sécurisé. Par là même, juin 2019 n’a révélé aucune
OpenSSL. données. /AES, ainsi chiffrement. parce qu’il utilise des faille de sécurité grave. Les
Algorithmes L’algorithme qu’une clé IKEv2 peut certificats SSL / TLS auditeurs ont toutefois indiqué
utilisés : 3DES, utilisé est le 256 bits. utiliser les 2048 bits pour que la sécurité du protocole
AES, RC5, RSA RC4 algorithmes de l'authentification et des pouvait encore être améliorée.
Blowfish. avec une chiffrement clés SSL 256 bits pour C’est certainement l’une des
Chiffrement longueur de suivants : 3DES, le cryptage. raisons pour lesquelles les
128 bits avec clé de AES, Blowfish, développeurs du protocole n’ont
clés 1024 bits. 128 bits. Camellia. pas encore publié de version
stable. Il est important de
souligner que Wireguard fait
encore l’objet de nombreux
développements et qu’il devrait
dès lors être considéré comme
un protocole expérimental.
73
 IV-VPN
5-TYPE DE PROTOCOLE VPN
OPENVPN PPTP L2TP/IPSEC IKEV2 SSTP WIREGUARD
Ergonomie Peut être installé via Peut être directement Peut être directement Peut être SSTP étant essentiellement Wireguard étant en
un logiciel distinct (non installé dans votre installé dans votre directement un protocole propriétaire cours de
intégré dans les système d’exploitation. système d’exploitation. De installé dans développé par Microsoft, il développement, la
systèmes De plus, PPTP est plus, L2TP/IPSec est votre système a été entièrement intégré à majorité des
chaque système
d’exploitation) et utilise intégré à de nombreux intégré à de nombreux d’exploitation. fournisseurs VPN
d'exploitation Microsoft ce
des fichiers de logiciels (de nombreux logiciels (de nombreux De plus, IKEV2 qui rend ça configuration ne proposent pas
configurations *.ovpn fournisseurs VPN fournisseurs VPN est intégré à de pour ces derniers facile. (encore) ce
associés à un nom proposent ce proposent ce protocole). nombreux SSTP prend également en protocole.
d’utilisateur et un mot protocole). logiciels (de charge les systèmes Linux Cependant, il est
de passe. Également nombreux et BSD. Android, macOS et compatible avec la
intégré dans de fournisseurs de iOS sont pris en charge via plupart des
nombreux logiciels VPN proposent des clients tiers. Mais la systèmes
(par exemple, les VPN ce protocole). configuration est plus d’exploitation.
les plus modernes). complexe pour ces
système.
Vitesse Dépend de La vitesse dépend de La vitesse dépend de À l’instar du SSTP utilise un cryptage de Selon ses
nombreuses variables nombreuses variables nombreuses variables protocole L2TP, 256 bits avec le chiffrement concepteurs,
différentes, telles que différentes, telles que différentes, telles que la IKEv2 utilise le AES, qui est actuellement l’efficacité et la
la rapidité de votre la rapidité de votre rapidité de votre système port UDP 500, considéré comme sûr sur le taille réduite du
plan cryptographique.
système et celle du ou système et celle du ou et celle du ou des ce qui en fait un code associé au
Même si le cryptage AES-
des serveurs auxquels des serveurs auxquels serveurs auxquels vous protocole assez 256 peut être lent, SSTP fait que Wireguard
vous êtes connecté. vous êtes connecté. êtes connecté. Le rapide. est toujours considéré réside dans le
OpenVPN avec un De manière générale, protocole L2TP lui-même Certaines comme un protocole rapide noyau Linux
port UDP donne en PPTP est connu pour est très rapide (car il ne sources pour les communications devraient permettre
général des vitesses être un protocole propose qu’un tunnel de prétendent par tunnel et chiffrement. d’atteindre des
plus élevées qu’avec rapide, principalement communication, mais pas même que vitesses élevées.
un port TCP. en raison de son de chiffrement), mais IKEv2 est Ceci est également
chiffrement l’ajout nécessaire d’IPSec capable confirmé par
relativement simple et pour la sécurité d’atteindre des les tests de
de bas niveau (par (principalement pour le vitesses plus performances disp
rapport aux protocoles chiffrement) rend élevées que onibles sur le site
plus modernes). L2TP/IPSec plus lent OpenVPN. internet de
qu’OpenVPN. Wireguard.
74
 IV-VPN
5-TYPE DE PROTOCOLE VPN
OPENVPN PPTP L2TP/IPSEC IKEV2 SSTP WIREGUARD
Stabilité et Offre une grande PPTP, toutes Comparable à IKEv2 est un SSTP est Wireguard étant en
fiabilité stabilité et fiabilité, proportions OpenVPN, mais protocole plus considéré comme cours de
quel que soit le type gardées, souffre dépend parfois complexe l’un des développement, il est
de réseau utilisé de quelques de la stabilité du qu’OpenVPN. C’est protocoles les difficile d’évaluer sa
(WLAN, LAN, problèmes de réseau. pourquoi il nécessite plus sûrs pour le stabilité et sa fiabilité
réseaux mobiles, stabilité et de parfois une tunneling VPN , il pour le moment.
etc.) Disposer d’une fiabilité. La configuration plus est très fiable et
connexion stable plupart de ces avancée et plus stable, à tel point
avec OpenVPN ne problèmes complexe pour bien que Windows l’a
nécessite peuvent être fonctionner. entièrement
généralement pas la attribués à des intégré en
configuration problèmes de standard.
avancée et compatibilité.
complexe qu’IKEv2
peut exiger.
Confidentialité OpenVPN est connu Parmi les L2TP, lorsqu’il .Beaucoup SSTP offre le Le principal avantage de
et sécurité pour contenir très utilisateurs est combiné à considèrent que plus haut niveau Wireguard à cet égard
peu de failles de Windows, PPTP IPSec, est connu IKEv2 est aussi sûr de sécurité, c’est- réside dans le fait que sa
sécurité, voire est connu pour pour être un que L2TP/IPSec, à-dire un cryptage base de code est
aucune. Vous avoir plusieurs protocole très car ils utilisent le AES 256 bits. De relativement limitée
souhaitez une failles de sûr. Selon même protocole de plus, le port qu’il (moins de 4000 lignes,
confidentialité sécurité. Edward chiffrement (IPSec). utilise peut tandis que OpenVPN et
maximale et une Snowden, Malheureusement, contourner L2TP/IPSec en comptent
protection VPN sans L2TP/IPSec a des présentations presque tous les plus de 100 000). Cela
passer par une déjà été percé de la NSA ayant types de pare-feu. signifie que la surface
configuration par la NSA fuité suggèrent que Comme il s’agit d’attaque exploitable par
avancée ? Si c’est le (National le protocole IKEv2 a d’une propriété de les pirates est beaucoup
cas, OpenVPN sera Security Agency) également été percé Microsoft, il est plus restreinte. Cela
dans la plupart des dans le passé par entièrement facilite aussi la détection
cas le protocole des personnes compatible avec des failles de sécurité.
adapté. malintentionnées. Windows.

75
 IV-VPN
5- TYPE DE PROTOCOLE VPN
OPENVPN PPTP L2TP/IPSEC IKEV2 SSTP WIREGUARD
Avantages Offre des Facile à configurer. Facile à configurer. Facile à configurer. A la capacité de Base de code limitée (plus
vitesses élevées contourner la plupart facile à auditer et offrant
et la meilleure Généralement Capable de Bonnes vitesses. des pare-feu moins de surface
sécurité parmi rapide. contourner les d’attaque).
tous les restrictions Le niveau de sécurité
protocoles VPN. Compatible avec de géographiques et dépend du Selon les concepteurs et
Capable de nombreux appareils celles mises en place chiffrement, mais il certaines critiques, il s’agit
contourner la et systèmes par les FAI. est généralement d’un protocole rapide et
plupart des sécurisé facile à utiliser.
pare-feux,
restrictions des Supporté par
réseaux et des Microsoft et intégré
FAI. au système
d'exploitation
Windows
Inconvénients L’installation Le degré de stabilité Relativement lent, il Souvent bloqué par Puis qu'il s'agit d'une Encore en
nécessite et de fiabilité est peut être bloqué par des pare-feu (utilise propriété Microsoft, développement. Il est
parfois un très variable. un pare-feu puisqu’il le port UDP 500). aucun tiers ne peut donc difficile de tirer des
logiciel distinct. utilise un port l'auditer pour les conclusions définitives
Pas aussi sûr et souvent bloqué : Compatible avec vulnérabilités concernant la sécurité et
privé que les UDP 500. moins de systèmes la stabilité du protocole.
protocoles et de logiciels Vitesse lente en
modernes (surtout qu’OpenVPN, raison du niveau de À ce jour, Wireguard
par rapport à L2TP/IPSec et PPTP cryptage semble être incompatible
OpenVPN). avec une politique
Le processus d’absence de journaux
Détection et d’installation est un (nous reviendrons sur ce
blocage des peu technique point).
utilisateurs de PPTP
faciles pour les sites
web, le
gouvernement et les
FAI.

76
 IV-VPN
5- TYPE DE PROTOCOLE VPN
OPENVPN PPTP L2TP/IPSEC IKEV2 SSTP WIREGUARD
Conclusion Pour beaucoup, Le protocole L2TP/IPSec est Selon plusieurs SSTP ressemble Wireguard montre
OpenVPN sera PPTP est souvent plus lent critiques, IKEv2 à OpenVPN, sans aucun doute
(à juste titre) le généralement que OpenVPN et semble offrir le même s’il est plus beaucoup de potentiel.
meilleur choix de facile à PPTP, mais peut même niveau de destiné aux Cependant, le
protocole VPN. configurer, mais parfois contourner sécurité que utilisateurs de protocole est encore
OpenVPN est moins stable et les blocages que L2TP/IPSec, mais Windows. Son en développement.
rapide, stable et sécurisé que les ces deux-là ne offre des vitesses point faible est C’est pourquoi, à
sûr. protocoles parviennent pas à plus élevées. qu’il ne peut pas l’instar de ses
modernes tels contourner. Nous Cependant, la être évalué de développeurs et de
que OpenVPN et vous vitesse d’IKEv2 façon efficace nombreux fournisseurs
L2TP/IPSec. recommandons dépend de comme il s’agit de VPN, nous
C’est pourquoi d’utiliser nombreuses d’un protocole recommandons
nous L2TP/IPSec variables. Pour propriétaire. Etant d’utiliser le protocole
recommandons comme alternative garantir une donné qu’il peut uniquement à des fins
principalement si OpenVPN ne connexion stable être configuré expérimentales ou
d’utiliser PPTP répond pas à vos et une bonne pour utiliser lorsque la
lorsque d’autres besoins fiabilité, IKEv2 l’algorithme de confidentialité et
protocoles ne spécifiques. peut nécessiter chiffrement AES, l’anonymat ne sont
fonctionnent pas une configuration il est plus fiable pas cruciaux. Cela
ou s’avèrent trop complexe. C’est que le L2TP/IPsec peut être le cas pour
difficiles à pourquoi, en (et encore plus contourner des
configurer. particulier pour les que le PPTP bien blocages
débutants, nous évidemment). géographiques, par
ne exemple.
recommandons
ce protocole que
si OpenVPN ne
fonctionne pas.
77
IV- VPN

6- Cas Pratique Configuration SSTP DANS MIKROTIK

[Link]

[Link]
with-windows-10/

[Link]
setup-with-routeros-client/

78
V- POLITIQUES DE SECURITE
Parce que les risques en matière de sécurité n’ont cessé
d’augmenter ces dernières années, il est important pour les
entreprises de mettre en place une stratégie qui leur permette
d’être préparé en cas d’incident et de réduire l’occurrence de ces
éventuels incidents.
1- Les enjeux de la mise en place d’une politique de sécurité

2- Définition : qu’est-ce qu’une politique de sécurité informatique ?

3- La sécurité du système d’information en général

4- Mettre en place une politique de sécurité informatique : les bonnes

pratiques

5- Critère de la mise en place d’une politique de sécurité des systèmes

d’information 79
V- POLITIQUES DE SECURITE
1- Les enjeux de la mise en place d’une politique de sécurité

Le bon fonctionnement du système d’information de l’entreprise dépend de la

disponibilité des informations et des systèmes informatiques mais aussi de la
confidentialité des informations, avec le risque de voir le capital informationnel de
l’entreprise compromis ou perdu.
On sait désormais que le principal facteur de risque en matière de sécurité
informatique c’est le facteur humain. Comment faire pour travailler sur cet aspect
de la sécurité informatique ? Différentes stratégies sont possibles. Dans cet article
nous allons aborder l’élaboration d’une politique de sécurité informatique au sein
de l’entreprise, avec des conseils et des bonnes pratiques.

80
V- POLITIQUES DE SECURITE
2- Définition : qu’est-ce qu’une politique de sécurité informatique ?

La Politique de Sécurité du Système d’Information définie l’intégralité de la

stratégie de sécurité informatique de l’entreprise. Elle se traduit par la
réalisation d’un document qui regroupe l’ensemble des règles de sécurité à
adopter ainsi que le plan d’actions ayant pour objectif de maintenir le niveau de
sécurité de l’information dans l’organisme.

La PSSI, élaborée « sur-mesure » pour chaque établissement, décrit l’ensemble des

enjeux, des besoins, des contraintes, ainsi que des règles à adopter propres à
chaque structure. Elle doit être validée par la direction et prise en compte par
chaque collaborateur.

81
V- POLITIQUES DE SECURITE
3- Pourquoi mettre en place une politique de sécurité des systèmes
d’information ??

En premier lieu, la démarche de mise en œuvre d’une PSSI permet d’entreprendre

une évaluation de la maturité de la sécurité de l’organisme, d’identifier les failles
et les faiblesses organisationnelles et techniques afin de prévoir et d’appliquer un
plan d’actions correctives et des règles associées.

La Politique de Sécurité du Système d’Information est un document qui doit être

pris en compte par chaque collaborateur intervenant dans l’organisme afin qu’il
puisse connaître les règles et les enjeux en matière de sécurité interne et externe
mais aussi des mesures à appliquer en situation de crise liée.

De surcroît définir une PSSI permet également d’évaluer l’importance du rôle que
joue le système d’information dans le fonctionnement de l’ensemble des services.

82
V- POLITIQUES DE SECURITE
4- Mettre en place une politique de sécurité informatique : les bonnes
pratiques

Vous trouverez ci-dessous quelques unes des meilleures pratiques à observer lors de
l’élaboration de votre politique de sécurité informatique :
Désigner un responsable informatique, qui sera en charge de l’élaboration et de la mise
en place de cette politique de sécurité
Définir le périmètre et les objectifs de la politique de sécurité informatique, à des fins
d’efficience et de mesure des résultats
Effectuer une analyse de l’existant, matériel et logiciel, et tenir à jour un registre de
l’ensemble des éléments qui composent le système d’information. Ce registre est important
lors des modifications des composants de la configuration informatique. En cas d’incident,
il peut permettre aux équipes IT de trouver l’origine du problème.
Effectuer une analyse des risques informatiques, au regard du préjudice possible et de la
probabilité d’occurrence de l’incident
Déterminer les moyens nécessaires pour la réductions des risques et la prise en charge des
incidents, qu’il s’agisse de moyens matériels ou humains
Définir les procédures adaptées, notamment en matière de gestion des incidents, ou de
gestion de la continuité d’activité
Rédiger une charte informatique, à l’attention des collaborateurs
83
Communiquer sur la politique de sécurité informatique auprès de l’ensemble de
V- POLITIQUES DE SECURITE
5- Critère de la mise en place d’une politique de sécurité des systèmes
d’information

84