====== VPN ======

===== Virtual Private Network =====

Dans les réseaux informatiques et les télécommunications, le réseau privé virtuel (RPV), Virtual Private Network en anglais (VPN) est vu comme une extension des réseaux locaux et préserve la sécurité logique que l'on peut avoir à l'intérieur d'un réseau local. Il correspond en fait à une interconnexion de réseaux locaux via une technique de « tunnel ». On parle de RPV lorsqu'un organisme interconnecte ses sites via une infrastructure partagée avec d'autres organismes. Il existe deux types de telles infrastructures partagées : les « publiques » comme l'Internet et les infrastructures dédiées que mettent en place les opérateurs pour offrir des services de RPV aux entreprises. C'est sur Internet et les infrastructures IP que se sont développées les techniques de « tunnel ». Historiquement les RPV inter-sites sont apparus avec X.25 sur des infrastructures mises en place par les opérateurs, puis [[glossaire:X25|X.25]] a été remplacé par le relayage de trames, l'[[glossaire:ATM]] et le [[glossaire:MPLS]] aujourd'hui.

Un bon compromis consiste à utiliser Internet comme support de transmission en utilisant un protocole de « tunnelisation » (en anglais tunneling), c'est-à-dire encapsulant les données à transmettre de façon chiffrée. On parle alors de RPV pour désigner le réseau ainsi artificiellement créé. Ce réseau est dit virtuel car il relie deux réseaux « physiques » (réseaux locaux) par une liaison non fiable (Internet), et privé car seuls les ordinateurs des réseaux locaux de part et d'autre du RPV peuvent accéder aux données en clair.

Le RPV permet donc d'obtenir une liaison sécurisée à moindre coût, si ce n'est la mise en œuvre des équipements terminaux. En contrepartie, il ne permet pas d'assurer une qualité de service comparable à une ligne louée dans la mesure où le réseau physique est public, donc non garanti.

Le RPV vise à apporter certains éléments essentiels dans la transmission de données : l'authentification (et donc l'identification) des interlocuteurs, l'intégrité des données (le chiffrement vise à les rendre inutilisables par quelqu'un d'autre que le destinataire).

Les principaux protocoles de tunnelisation sont :

    * [[glossaire:GRE]], souvent remplacé par [[glossaire:L2TP]], développé par Cisco.
    * [[glossaire:PPTP]] (Point-to-Point tunneling Protocol) est un protocole de niveau 2 développé par Microsoft, 3Com, Ascend, US Robotics et ECI Telematics. Chiffrement avec MPPE.
    * [[glossaire:L2F]] (Layer Two Forwarding) est un protocole de niveau 2 développé par Cisco Systems, Nortel et Shiva. Il est désormais quasi-obsolète.
    * [[glossaire:L2TP]] (Layer Two Tunneling Protocol) est l'aboutissement des travaux de l'[[glossaire:IETF]] ([[glossaire:RFC]] 2661) pour faire converger les fonctionnalités de PPTP et [[glossaire:L2F]]. Il s'agit ainsi d'un protocole de niveau 2 s'appuyant sur [[glossaire:PPP]]. Chiffrement avec IPSec.
    * [[glossaire:IPsec]] est un protocole de niveau 3, issu des travaux de l'IETF, permettant de transporter des données chiffrées pour les réseaux IP.
    * [[glossaire:TLS|SSL/TLS]] offre une très bonne solution de tunnelisation. L'avantage de cette solution est d'utiliser un navigateur Web comme client VPN.
    * [[glossaire:SSH]], initialement connu comme remplacement sécurisé de telnet, offre la possibilité de tunneliser des connexions de type [[glossaire:TCP]], permettant d'accéder ainsi de façon sûre à des services offerts sur un réseau protégé, sans créer un réseau privé virtuel au sens plein. Toutefois, depuis sa version 4.3, le logiciel OpenSSH permet de créer des tunnels entre deux interfaces réseau virtuelles au niveau 3 (routage du seul trafic [[glossaire:IP]], interfaces [[glossaire:TUN]]) ou au niveau 2 (tout le trafic Ethernet, interfaces [[glossaire:TAP]]). Toutefois, OpenSSH ne gère que la création de ces tunnels, la gestion (routage, adressage, pontage, etc ...), c'est à dire la création du RVP utilisant ces tunnels, restant à la charge de l'utilisateur.
    * [[glossaire:VPN-Q]] : La mise en quarantaine des connexions permet d'isoler un utilisateur authentifié et d'inspecter sa configuration pour voir s'il ne présente aucun risque (le cas échéant de le mettre en conformité - correctifs, antivirus, pare-feu...). Ensuite et seulement s'il est conforme, il aura accès au réseau interne de l'entreprise. L'ajout de l'inspection du poste permet de réduire considérablement le risque des attaques contre le RPV. Sur les passerelles [[glossaire:ISA|Microsoft ISA Server]], la technologie est appelée VPN Quarantaine (VPN-Q). L'automatisation est réalisée à travers le logiciel [[glossaire:QSS]] (Quarantine Security Suite). Microsoft fournit le service [[glossaire:NAP]] qui permet de faire la même chose également sur les câbles réseaux (switchs, ...) et les accès [[glossaire:Wi-Fi]] sécurisés.

Voir:
  * [[http://fr.wikipedia.org/wiki/R%C3%A9seau_priv%C3%A9_virtuel|Wikipedia (fr)]]
Voir:
  * <del>[[http://tools.ietf.org/html/rfc2547|RFC 2547]] BGP/MPLS VPNs</del> [[http://tools.ietf.org/html/rfc4364|RFC 4364]] BGP/MPLS IP Virtual Private Networks (VPNs)