Guide pour établir un VPN en mode transport IPsec avec authentification X509 entre deux ordinateurs Windows

Architecture Réseau

Pour les besoins de cet article, nous conserverons une architecture simple. Nous établirons une connexion sécurisée en utilisant un VPN IPsec avec une authentification x509 entre un ordinateur exécutant Windows 11 et un serveur exécutant Windows Server 2022. Les deux ordinateurs seront sur le même réseau local.

Serveur Windows

PKI

Comme discuté précédemment, nous allons utiliser des certificats X.509 pour établir une connexion IPsec entre notre serveur et notre client. Pour ce faire, nous devons créer une PKI : une Autorité de Certification (CA) Racine qui signera les certificats, et deux certificats, un pour chacun de nos deux hôtes.

Toutes les commandes ci-dessous seront exécutées à partir d'une console PowerShell avec des droits administrateur.

Certificat pour le Serveur

• Créer la CA Racine, qui nous permettra de signer les certificats du serveur et du client :

PS C:\> $rootCert = New-SelfSignedCertificate -CertStoreLocation Cert:\LocalMachine\My -DnsName RootCA -KeyUsage CertSign,CRLSign,DigitalSignature -NotAfter (Get-Date).AddYears(10)

• Créer le certificat du serveur, et le signer avec la RootCA (Note : nous pouvons changer "ServerName" par le nom réel du serveur.) :

PS C:\> $serverCert = New-SelfSignedCertificate -CertStoreLocation Cert:\LocalMachine\My -DnsName ServerName -Signer $rootCert -NotAfter (Get-Date).AddYears(5)

• Récupérer les informations du certificat du serveur dans la variable $serverCert :

PS C:\> $serverCert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.Subject -eq "CN=ServerName" }

Certificat Client

• Créer un certificat client et le signer avec RootCA (Note : "W11" peut être remplacé par le nom réel du client.) :

PS C:\> $cert = New-SelfSignedCertificate -DnsName "W11" -CertStoreLocation "cert:\LocalMachine\My" -Signer $rootCert -KeyExportPolicy Exportable -NotAfter (Get-Date).AddYears(5)

• Définir un mot de passe pour protéger le fichier pfx, qui sera utilisé pour stocker le certificat du client avec la clé privée :

PS C:\> $password = ConvertTo-SecureString -String "PassPass" -Force -AsPlainText

• Exporter le certificat client dans un conteneur pfx, exemple ici vers C:\W11.pfx :

PS C:\> Export-PfxCertificate -Cert $cert -FilePath "C:\W11.pfx" -Password $password

Vérification

• Ouvrez la console Gestionnaire de certificats de l'ordinateur local :

• Dans le dossier Personnel > Certificats, vérifiez que les certificats créés précédemment sont présents :

Configuration IPsec

Interface Graphique (GUI)

• Ouvrir la console du Pare-feu Windows avec fonctions avancées de sécurité :

• Faire un clic droit sur Règles de sécurité de connexion et sélectionner Nouvelle règle…:

• Sélectionnez Personnalisé et cliquez sur Suivant :

• Dans la section Quels ordinateurs sont dans le point de terminaison 1, sélectionnez Ces adresses IP et cliquez sur Ajouter… :

• Ici, nous ajoutons l'Hôte ou le Réseau avec lequel nous devons établir une connexion IPsec pour communiquer :

• Faites de même avec le point de terminaison 2 en entrant l'adresse IP du serveur puis cliquer sur Suivant :

• Pour une sécurité maximale et pour imposer l'utilisation de IPsec, sélectionner Exiger l'authentification pour les connexions entrantes et sortantes :

• Comme nous allons utiliser un certificat comme Méthode d'authentification dans cet exemple, cliquer sur Personnaliser… :

• Suiver ces étapes pour définir le Certificat :

• Nous pouvons spécifier un ou plusieurs protocoles spécifiques à encapsuler dans IPsec, ici nous encapsulons tout :

• Nous pouvons restreindre la règle à des profils spécifiques :

• Enfin, spécifier le Nom de la règle :

PowerShell

• Nous pouvons créer la même Règle IPsec que celle configurée juste au-dessus, en trois lignes de commande PowerShell :

PS C:\> $cert1Proposal = New-NetIPsecAuthProposal -Machine -Cert -Authority "CN=RootCA" -AuthorityType Root

PS C:\> $certAuthSet = New-NetIPsecPhase1AuthSet -DisplayName "Computer Certificate Auth Set" -Proposal $cert1Proposal

PS C:\> New-NetIPsecRule -DisplayName "IPsec" -Name "IPsec" -Mode Transport -InboundSecurity Require -OutboundSecurity Require -LocalAddress 192.168.1.200 -RemoteAddress 192.168.1.30 -Enable True -Phase1AuthSet $certAuthSet.Name

Nous avons maintenant terminé la configuration du serveur. Il est maintenant temps de passer à la configuration du client.

Configuration du Pare-Feu

Nous allons la créer une règle de pare-feu pour permettre les flux chiffrés.

Interface Graphique (GUI)

• Faire un clic droit sur Règles de sécurité entrantes et sélectionner Nouvelle règle…:

• Sélectionner Personnalisé et cliquer sur Suivant:

• Choisissez Tous les programmes et cliquer sur Suivant:

• Nous pouvons spécifier un ou plusieurs protocoles spécifiques à correspondre par la règle, ici nous choisirons Tous les protocoles:

• Restreindre l'application de la règle aux adresses IP définies concernées:

• À l'étape Action, configurer la condition Exiger que les connexions soient chiffrées:

• Nous pouvons limiter l'application de la règle à des utilisateurs spécifiques, ce qui ne sera pas utilisé dans notre cas:

• Nous pouvons faire de même pour limiter la règle à des ordinateurs spécifiques, ce qui ne sera pas utilisé dans cet exemple non plus:

• Nous pouvons restreindre la règle à des profils spécifiques:

• Enfin, spécifier le Nom de la règle:

PowerShell

• Nous pouvons créer la même Règle de pare-feu que celle configurée ci-dessus, en une seule ligne de commande PowerShell:

PS C:\> New-NetFirewallRule -DisplayName "IPsec ALLOW" -Direction Inbound -Enabled True -Action Allow -LocalAddress 192.168.1.200 -RemoteAddress 192.168.1.0/24 -Protocol Any -Encryption Dynamic -Authentication Required

Importation du Certificat

• Tout d'abord, copier le fichier W11.pfx précédemment généré sur le système Windows 11 et double-cliquer dessus :

• Sélectionner Ordinateur local puis cliquer sur Suivant :

• Cliquer sur Suivant :

• Saisisser le mot de passe précédemment défini lors de l'exportation des certificats vers pfx et cliquer sur Suivant :

• Choisir “Sélectionner automatiquement le magasin de certificats” et cliquer sur Suivant :

Configuration IPsec

Je vais toutes les décrire, mais les étapes sont à peu près les mêmes que celles que nous avons suivies pour le serveur.

• Ouvrir la console Pare-feu Windows Defender avec fonctions avancées de sécurité :

• Faire un clic droit sur Règles de sécurité de connexion et sélectionner Nouvelle règle… :

• Sélectionner Personnalisé et cliquer sur Suivant :

• Dans la section Quels ordinateurs sont dans le point de terminaison 1, sélectionner Ces adresses IP et cliquer sur Ajouter… :

• Ici, nous ajoutons l'adresse IP de notre client :

• Faire de même avec le point de terminaison 2 en entrant l'adresse IP du serveur puis cliquer sur Suivant :

• Pour une sécurité maximale et imposer l'utilisation de IPsec, sélectionner Exiger l'authentification pour les connexions entrantes et sortantes :

• Comme nous allons utiliser une clé partagée comme méthode d'authentification dans cet exemple, cliquer sur Personnaliser… :

• Suivre ces étapes pour définir le certificat :

• Nous pouvons spécifier un ou plusieurs protocoles spécifiques à encapsuler dans IPsec, ici nous encapsulons tout :

• Nous pouvons restreindre la règle à des profils spécifiques :

• Enfin, spécifier le nom de la règle :

• Faire un ping au serveur et vérifier que l'association de sécurité est présente :