Création d'un tunnel VPN site à site IPsec avec PfSense

I : Présentation........................................................................................................................................... 1
II : Topologie et adressages réseaux......................................................................................................... 1
III : Mise en oeuvre.....................................................................................................................................2
1 : Configuration du firewall du bâtiment 1 :......................................................................................... 2
2 : Configuration du firewall du bâtiment 2 :......................................................................................... 9
IV : Test.................................................................................................................................................... 10

I : Présentation
Un VPN site-à-site est un outil permettant de joindre deux réseaux de sites distants afin de faire en sorte
qu’ils communiquent comme s’ils n’étaient séparés que par un routeur et ne passaient pas par le WAN.
Cela permet de mettre à disposition les ressources de l’entreprise à un réseau distant du sites où elles
sont, quelle que soit la distance, et de façon sécurisée.

Il existe plusieurs méthodes pour faire un tunnel VPN de site-à-site. Nous allons voir l’une d’entre elles qui
repose sur le protocole IPsec (Internet Protocol Sécurity) sur un système d’exploitation de routeur/pare-feu
PfSense.
Nous partons du principe que les firewalls des deux sites sont déjà installés et fonctionnels.

Camille BOISSIERE
Promotion TSSR 2023-2024 - AFPA de Langueux
II : Topologie et adressages réseaux

Pour cette documentation, nous allons utiliser la topologie et les adressages des deux réseaux suivants.
Cette topologie est à adaptée suivant votre configuration.

L’adresse réseau du bâtiment 1 est 10.0.102.0/24 avec l’adresse IP du serveur est 10.0.102.200 et celle de
l'interface LAN du firewall est 10.0.102.254. Cette dernière est la passerelle du réseau.

L’adresse réseau du bâtiment 2 est 10.0.202.0/24 avec l’adresse IP du poste client est 10.0.202.1 et celle
de l’interface LAN du firewall est 10.0.202.254. Cette dernière est la passerelle du réseau.

Le réseau internet est ici simulé avec un réseau en 192.168.1.0/24.

L’adresse IP de l’interface WAN du firewall du bâtiment 1 est 192.168.1.254 et celle du firewall du bâtiment
2 est 192.168.1.253

Camille BOISSIERE
Promotion TSSR 2023-2024 - AFPA de Langueux
III : Mise en oeuvre
Pour chaque firewall la configuration se divise en quatre parties.
- Une partie concernant l’interface WAN du site distant et l’authentification (la phase 1)
- Une partie concernant le réseau du site disant et l'algorithm de chiffrement (la phase 2)
- L’ajout d’une règle de pare-feu
- L’ajout de la passerelle du réseau local

1 : Configuration du firewall du bâtiment 1 :

Se connecter au firewall avec votre compte administrateur

Dans l’onglet VPN, sélectionner IPsec, puis cliquer sur Ajouter P1

Camille BOISSIERE
Promotion TSSR 2023-2024 - AFPA de Langueux
Définir une description claire du tunnel mis en place
Bien vérifier que l’interface définie est la WAN
Renseigner la passerelle distante, c'est-à-dire l’adresse IP de l’interface WAN du firewall de l’autre site

Plus bas dans le menu, entrer votre clé d’authentification partagée. Cette clé devra être strictement la
même sur les deux firewalls

Pour cette documentation, nous ne modifierons aucune autre option. Aller en bas et cliquer sur enregistrer
puis appliquer les modifications

Nous avons fini de paramétrer le VPN avec les informations du WAN distant et la création de la clé
d’authentification, nous allons à présent faire la configuration de la phase 2

Camille BOISSIERE
Promotion TSSR 2023-2024 - AFPA de Langueux
Cliquer sur afficher les entrées phase 2 puis sur ajouter P2

Renseigner une description

Dans la partie réseau distant, renseignez l’adresse réseau ainsi que le CIDR du réseau du site distant

Camille BOISSIERE
Promotion TSSR 2023-2024 - AFPA de Langueux
Sélectionner l’algorithm de chiffrement et le hash souhaité (ici AES 128bits et SHA 256)

Afin que le tunnel soit toujours actif, nous allons demander de faire un ping régulièrement à un hôte du
réseau distant

Renseigner l’adresse IP de l’hôte du réseau distant puis cliquer sur enregistrer

Appliquer les modifications

Nous pouvons voir les deux phases configurées

Nous allons maintenant créer la règle dans le pare-feu concernant le tunnel IPsec

Camille BOISSIERE
Promotion TSSR 2023-2024 - AFPA de Langueux
Aller dans l’onglet Pare-feu, puis dans règles
Sélectionner IPsec puis cliquer sur ajouter

Changer le protocole pour l’option tous

Dans source, sélectionner réseau et renseigner l’adresse réseau du site distant ainsi que le CIDR

Dans destination sélectionner le LAN du firewall local

Camille BOISSIERE
Promotion TSSR 2023-2024 - AFPA de Langueux
Cocher Journaliser les paquets gérés par cette règle puis enregistrer

Enfin, cliquer sur appliquer les modifications

Il nous reste maintenant à configurer la passerelle du LAN

Aller dans l’onglet système

Cliquer sur Routage
Cliquer sur Ajouter

Camille BOISSIERE
Promotion TSSR 2023-2024 - AFPA de Langueux
Sélectionner l’interface LAN
Renseigner le nom de la passerelle
Renseigner l’adresse IP de la passerelle du LAN

Cliquer sur Enregistrer puis appliquer les modifications

Le tunnel IPsec du premier site est maintenant configuré, nous allons à présent faire la configuration sur le
firewall du site distant.

Camille BOISSIERE
Promotion TSSR 2023-2024 - AFPA de Langueux
 2 : Configuration du firewall du bâtiment 2 :

La configuration est similaire sur le firewall du second site il faut simplement modifier les informations IP.

Camille BOISSIERE
Promotion TSSR 2023-2024 - AFPA de Langueux
IV : Test

Un ping vers un hôte du réseau de l’autre côté du tunnel vous permet de vérifier si la configuration du VPN
est correcte

Si vous avez un serveur avec le service bureau à distance activé, vous pouvez aussi essayer de vous y
connecter en renseignant l’adresse IP directement et non plus celle de l’interface WAN distante.

Camille BOISSIERE
Promotion TSSR 2023-2024 - AFPA de Langueux