Comment configurer un tunnel IPsec en mode transport entre deux machines Windows

Architecture réseau

Pour les besoins de cet article, nous garderons une architecture aussi simple que possible. Il s'agit d'établir une connexion sécurisée avec un VPN IPsec sécurisé par PSK (Pre-shared key) entre un ordinateur fonctionnant sous Windows 11 et un serveur fonctionnant sous Windows 2022. Les deux ordinateurs seront sur le même réseau local.

Serveur Windows

Configuration IPsec

Interface Graphique Utilisateur (GUI)

• Ouvrir la console du Pare-feu Windows avec fonctions avancées de sécurité :

• Faire un clic droit sur Règles de sécurité de connexion et sélectionner Nouvelle règle… :

• Sélectionner Personnalisée et cliquer sur Suivant :

• Dans la section Quels ordinateurs se trouvent au point de terminaison 1, sélectionner Ces adresses IP et cliquer sur Ajouter… :

• Ici, nous ajoutons l'Hôte ou le Réseau avec lequel nous devons établir une connexion IPsec pour communiquer :

• Faire de même avec le point de terminaison 2 en entrant l'adresse IP du serveur puis cliquer sur Suivant :

• Pour une sécurité maximale et imposer l'utilisation d'IPsec sélectionner Imposer l'authentification des connexions entrantes et sortantes :

• Comme nous utiliserons une clé pré-partagée comme Méthode d'Authentification dans cet exemple, cliquer sur Personnaliser… :

• Suivre les étapes suivantes afin de paramétrer la PSK (clé pré-partagée) :

• Nous pouvons spécifier un ou plusieurs protocoles spécifiques à encapsuler dans IPsec, ici nous encapsulons tout :

• Nous pouvons restreindre la règle à des profils spécifiques :

• Enfin, spécifier le Nom de la règle :

PowerShell

• Nous pouvons créer la même règle IPsec que celle configurée juste au-dessus, en trois lignes de commande PowerShell :

PS C:\> $PSKAuthProp = New-NetIPsecAuthProposal -Machine -PreSharedKey "IPsuperSECRET"

PS C:\> $PSKAuthSet = New-NetIPsecPhase1AuthSet -DisplayName "PSK auth" -Proposal $PSKAuthProp

PS C:\> New-NetIPsecRule -DisplayName "IPsec" -Name "IPsec" -Mode Transport -InboundSecurity Require -OutboundSecurity Require -LocalAddress 192.168.1.200 -RemoteAddress 192.168.1.30 -Enable True -Phase1AuthSet $PSKAuthSet.Name

Configuration du pare-feu

Nous allons la créer une règle de pare-feu pour permettre les flux chiffrés.

Interface Graphique Utilisateur (GUI)

• Faire un clic droit sur Règles de sécurité entrantes et sélectionner Nouvelle règle… :

• Sélectionner Personnalisée et cliquer sur Suivant :

• Choisir Tous les programmes et cliquer sur Suivant :

• Nous pouvons spécifier un ou plusieurs protocoles spécifiques à être ciblés par la règle, ici nous ciblerons tous les protocoles :

• Limiter l'application de la règle aux adresses IP définies concernées :

• Dans l'étape Action, configurer la condition Exiger le chiffrement des connexions :

• Nous pouvons limiter l'application de la règle à des utilisateurs spécifiques, ce qui ne sera pas utilisé pour nos besoins :

• Nous pouvons faire de même pour limiter la règle à des ordinateurs spécifiques, ce qui ne sera pas utilisé dans cet exemple non plus :

• Nous pouvons restreindre la règle à des profils spécifiques :

• Enfin, spécifier le Nom de la règle :

PowerShell

• Nous pouvons créer la même Règle de Pare-feu que celle configurée juste ci-dessus, en une seule ligne de commande PowerShell :

PS C:\> New-NetFirewallRule -DisplayName "IPsec ALLOW" -Direction Inbound -Enabled True -Action Allow -LocalAddress 192.168.1.200 -RemoteAddress 192.168.1.0/24 -Protocol Any -Encryption Dynamic -Authentication Required

Nous avons maintenant terminé la configuration du serveur. Il est maintenant temps de passer à la configuration du client.

Windows 11

Je vais les décrire toutes, mais les étapes sont globalement les mêmes que celles que nous avons suivies pour le serveur.

• Ouvrir la console du Pare-feu Windows :

• Faire un clic droit sur Règles de sécurité de connexion et sélectionner Nouvelle règle… :

• Sélectionner Personnalisée et cliquer sur Suivant :

• Dans la section Quels ordinateurs se trouvent au point de terminaison 1, sélectionner Ces adresses IP et cliquer sur Ajouter… :

• Ici, nous ajoutons l'adresse IP de notre client :

• Faire de même avec le Point de terminaison 2 en entrant l'adresse IP du serveur puis cliquer sur Suivant :

• Pour une sécurité maximale et imposer l'utilisation d'IPsec, sélectionner Imposer l'authentification pour des connexions entrantes et sortantes :

• Comme nous utiliserons une clé pré-partagée comme Méthode d'Authentification dans cet exemple, cliquer sur Personnaliser… :

• Suivre ces étapes pour configurer la clé pré-partagée :

• Nous pouvons spécifier un ou plusieurs protocoles spécifiques à encapsuler dans IPsec, ici nous encapsulons tout :

• Nous pouvons restreindre la règle à des profils spécifiques :

• Enfin, spécifier le Nom de la règle :

• Faire un ping vers le serveur et vérifier que l'association de sécurité est présente :