Les Réseaux Privés Virtuels

(VPN)

Définition d'un VPN

Un VPN est un réseau privé qui utilise

un réseau publique comme backbone
ƒ Seulsles utilisateurs ou les groupes qui sont enregistrés
dans ce vpn peuvent y acceder.
ƒ Les données transitent dans un tunnel après avoir été
chiffrées.
ƒ Tout se passe comme si la connexion se faisait en dehors
d'infrastructure d'accès partagé comme Internet.

2
Objectifs et caractéristiques des VPN

• Étanchéité du trafic entre les différents réseaux privés virtuels

• Sécurité des communications :

ƒ Confidentialité (chiffrement des données)
ƒ Authentification (utilisateurs ou DATA)

• Notion de qualité de service

ƒ Type best effort dans le cas de simples tunnels créés par l'utilisateur
ƒ QOS bien meilleure dans le cadre d'une offre VPN d'opérateur

• Coût :
ƒ Permet de réduire les coûts liés à l'infrastructure réseau des entreprises par la
mise en place d'une liaison vpn

Le tunneling
• Le VPN est basé sur la technique du tunnelling:
ƒ Processus d’encapsulation, de transmission et de désencapsulation.
ƒ Consiste à construire un chemin virtuel après avoir identifié l’émetteur et le
destinataire.
ƒ La source chiffre les données et les achemine en empruntant ce chemin
virtuel.

• Les données à transmettre peuvent appartenir à un protocole

différent d’IP.

• Le protocole de tunnelling encapsule les données en rajoutant

une entête permettant le routage des trames dans le tunnel.

4
 Sommaire

• Principes de " t unneling"

• Principaux usages des VPN
• Prot ocoles de " t unneling" des VPN
ƒ Rappel sur PPP
ƒ Prot ocoles PPTP, L2TP

• Sécurit é des connexions VPN

Rappel, Tunneling

• Caract érist iques :

Un tunnel sert à transporter des données d’un point A vers un point B,

au sens où les données qui "entrent" dans le tunnel en A "ressortent"
nécessairement en B.

• Exemples :

6
 Tunnels – Principe de fonctionnement

• Le transport de données se fait par encapsulation :

ƒ Extrémité du tunnel: données à transporter insérées dans un
paquet de protocole de "tunnélisation", puis dans un paquet
du protocole de transport de données.

ƒ L'autre extrémité du tunnel: données extraites du protocole de

"tunnélisation" et poursuivent leur chemin sous leur forme initiale.

Tunnels – Principe de fonctionnement

Réseau IP de l'opérateur
R1 : routeur R2 : routeur
entrée du tunnel sortie du tunnel
LAN LAN

A Z
Tunnel IP dans IP
A → Z R1 → R2 GRE A → Z A → Z

• Un tunnel est créé entre R1 et R2 :

ƒ Configuré dans les routeurs d’entrée et de sortie

• Le paquet ip privé (avec adresses IP privées) est encapsulé dans un paquet IP

public:
ƒ Les adresses de R1 et R2 sont des adresses publiques

• Tunnel IP dans IP :
ƒ Le protocole GRE permet d'encapsuler les papquets IP dans IP
ƒ L'entête GRE permet d'annoncer le type de paquet encapsulé (IPv4)
8
 Tunnels – Principaux protocoles
Différent s prot ocoles:

• Passenger Protocol – Les données originales (IP…) à transmettre.

• Encapsulating Protocol – Le protocole (GRE, IPSec, PPTP, L2TP) utilisé
pour encapsuler les données originales.
• Carrier Protocol – Le protocole employé par le réseau pour transporter les
données.

The original packet ( Passenger prot ocol) is encapsulat ed inside

t he encapsulat ing Prot ocol, which is t hen put inside t he carrier
prot ocol’s header ( usually I P) for t ransm ission over t he public
net work.

• Le prot ocole d'encapsulat ion peut assurer égalem ent le

chiffrem ent des données.

Tunnels – Protocoles niveau 2, 3 & 4

ƒ Protocoles de niveau 2 : PPTP, L2TP t ous les deux encapsulent
les données ut iles ( payload) dans une t ram e PPP qui sera
t ransm ise à t ravers I nt ernet .
) Le tunnel est semblable à une session ;
) Les deux extrémités du tunnel doivent être d'accord et doivent
négocier des variables de configuration, assignation des adresses,
paramètres d’encryptions et/ou de compression ;
) Un mécanisme de gestion et de maintenance du tunnel.

ƒ Protocoles de niveau 3 : I PSec encapsule les paquet s I P dans un

aut re paquet I P avant de l'envoyer sur I nt ernet .
) Les variables sont pré-configurées
) Pas de phase d'entretien de tunnel

• Protocoles de niveau 4 : ut ilise TLS/ SSL pour sécuriser les

échanges au niveau de la couche Transport
10
 VPN – Usages (1)
• VPN accès distant :
ƒ Permet à des utilisateurs itinérants d'accéder au réseau privé.
ƒ L'établissement de la connexion VPN se fait via une connexion Internet.

• Deux cas :
ƒ La connexion est établie entre le NAS (Network Access Server) de l'ISP et
le serveur VPN disant.
ƒ La connexion est établie entre le client (client vpn) le serveur VPN distant.

11
Source: Virt ual Privat e Net working in Windows 2000: An Overview. Microsoft – Whit e paper.

VPN – Usages (2)

• L'int ranet VPN ( vpn ent re sit es) :

ƒ Permet de relier plusieurs sites distants au sein d'une entreprise.
ƒ Mise en œuvre avec des tunnels de niveau 3.
ƒ Garantie une authentification au niveau paquet

12
 VPN – Usages (3)

• Accès client distant via un intranet :

ƒ Utilisé pour sécuriser un réseau d’un département du reste de l'intranet
d’une l'entreprise :
) Le réseau département étant séparé d’intranet par un serveur VPN .
) Les utilisateurs doivent bénéficier des autorisations appropriées
pour établir une connexion VPN au serveur VPN.
) Pour tous les autres, le réseau du département est masqué.

13
Source: Virt ual Privat e Net working in Windows 2000: An Overview. Microsoft – Whit e paper.

Caractéristiques fondamentales d'un VPN

A Une solution de VPN devrait fournir au moins l'ensemble

des caractéristiques suivantes :
• Aut hent ificat ion

• Crypt age des données

• Adressage

• Filt rage de paquet

• Gest ion des clés

• Support Mult iprot ocole.

14
 Authentification

• Seuls les utilisateurs autorisés de la connexion VPN doivent

pouvoir s'identifier sur le réseau virtuel.

• Authentification au niveau utilisateur

ƒ Protocole PPTP (niveau 2).
ƒ Basée sur le schéma d'authentification de PPP (PAP, MS-CHAP-
v1&v 2).

• Authentification au niveau paquet:

ƒ Protocole Ipsec (niveau 3).
ƒ Identification de la source des données transmises, non-répudiation, etc.
ƒ Basée sur les signatures numériques ajoutées aux paquets.

• Aut hent ificat ion de t ype EAP:

ƒ EAP-TLS (RFC 2716) est une méthode d’authentification forte basée sur
15
des certificats à clés publique.

Cryptage de données

• Nécessité de cryptage des données pour protéger les

données échangées entre le client et le serveur VPN
ƒ Le cryptage des données pour les tunnels PPTP (implémentation
Microsoft) utilise le protocole MPPE (Microsoft Point-to-Point
Encryption),

ƒ Utilise l'algorithme RSA/RC4 pour créer une clé de cryptage basée sur le
mot de passe client.

16
 Adressage

Attribuer au client VPN une adresse IP privée lors de la

connexion au réseau distant et garantir que cette adresse
reste confidentielle:
ƒ Les protocoles de tunneling niveau 2 supportent une assignation dynamique
d'une adresse à un client, grace au protocole NCP (Network Control Protocol).

ƒ Les protocoles de tunneling niveau 3 Layer 3 tunneling assument une

assignation statique d'une adresse aux extrémités du tunnel avant que celui-ci
soit établi.

17

Filtrage de paquets

• Mise en place de filtres sur l'interface correspondant à la

connexion à Internet du serveur VPN.
ƒ Autoriser seulement le trafic VPN d'utilisateurs authentifiés

ƒ Empêcher le serveur VPN de recevoir du trafic en dehors du trafic VPN.

ƒ Assurer que seuls les données cryptées autorisées pénètrent au sortent

du LAN privé.

18
 Support Multi-protocole

La solution VPN doit supporter les protocoles les plus utilisés

sur les réseaux publiques en particulier IP.

Les Protocoles de tunneling niveau 2 peuvent supportent

plusieurs protocoles de liaisons de données (Ethernet, PPP,
FR, MPLS, etc).

Les Protocoles de tunneling niveau 3, tels que IPSEC,

supportent uniquement les couches cibles utilisant le
protocole IP.

19

Les tunnels de niveau 2

(liaison de données)

20
Point-to-Point Tunneling Protocol

21

Point-to-Point Tunneling Protocol

• Protocole qui utilise une connexion PPP à travers le

réseau TCP/IP pour établir une connexion vpn :
ƒ Le client PPTP se connecte à un serveur d'accès (NAS) chez l'ISP :
) Initiation d'une connexion PPP vers l'ISP pour accéder à Internet.

ƒ Le NAS établit ensuite une connexion VPN utilisant PPTP vers le

serveur VPN :
) PPTP encapsulation des trames PPP cryptés dans des datagrammes IP
grâce au protocole d'encapsulation GRE ;

• Trois composants :
ƒ La connexion PPP ;
ƒ La Connexion de contrôle PPTP ;
ƒ Encapsulation et transmission des données PPTP ;
22
PPTP : Schéma général

23

PPTP : Encapsulation

24
 Le protocole PPP

• PPTP utilise PPP pour se connecter à un ISP (NAS).

• Protocole de niveau 2 permettant d'encapsuler des paquets
IP sur une liaison point à point.
• Encapsulation de plusieurs protocoles au moyen de son
composant NCP (Network Control Protocol) dans des trames
PPP:
ƒ Protocoles de la couche réseau transportées dans une trame PPP
ƒ NCP pour chaque protocole de la couche réseau; IPCP pour IP

• Établissement et contrôle de la liaison avec LCP (Link

Control Protocol):
ƒ Négocie et définit les options de contrôle sur la liaison de données.

25

Établissement d’une session PPP

• Trois phases principales :

ƒ Établissement de liaison ,
ƒ Authentification optionnelle,
ƒ Configuration du protocole de la couche réseau.

26
 Session PPP – Phase 1

• Établissement de liaison :
ƒ Chaque équipement PPP envoie des paquets LCP pour configurer, tester
et terminer la liaison de données.
ƒ Les Paquets LCP contiennent un champs d’option de configuration
permettant de négocier l’utilisation d’options telles que :
) compression de certains champs PPP
) protocole d’authentification de liaison

27

Session PPP – Phase 2

• Authentification optionnelle :
ƒ L’authentification a lieu avant d’entrer dans le phase de protocole de la
couche réseau, une fois que le protocole d’authentification a été choisi.
ƒ Différentes méthodes d’authentification:
9 Password Authentication Protocol (PAP),
9 Challenge Handshake Authentication Protocol (CHAP),
9 Microsoft Challenge Handshake Authentication Protocol (MS-CHAP).

28
 Session PPP – Phase 3
z
Protocole de couche réseau :
ƒ Les équipements PPP envoient des paquets NCP pour choisir et configurer
un ou plusieurs protocoles de la couche réseau (tel que IP).
ƒ Choix du protocole (IPCP par exemple), assignation d’une @IP au client,
envoie des datagrammes de chaque protocole sur la liaison.

29

Authentification PPP (1)

• PAP (PPP Authentification Protocol RFC1334) :

ƒ Authentification auprès du NAS par un nom d’utilisateur/mot de passe.
ƒ Le mot de passe circule en clair.

• Inconvénients :
ƒ Schéma d’authentification non sécurisé :
) Un tiers pourrait capturer le nom et le mot de passe de l'utilisateur
) Aucune protection contre les attaques par le rejeu n’est fournie.

30
 Authentification PPP (2)

• CHAP (Challenge Handshake Authentication Protocol, RFC1994) :

ƒ Challenge qui authentifie l’utilisateur auprès du NAS :
1. Le NAS envoie au user un "challenge" crypté avec un "secret partagé".
2. Le user répond avec une valeur calculée en utilisant une fonction de hachage
(MD5) le tout crypté avec le "secret partagé".
3. Le NAS vérifie la réponse avec son propre calcul du hachée prévue. Si les
valeurs concordent, le connexion est établie.
4. A des intervalles aléatoires, le NAS envoie un nouveau "challenge" au user,
et répète les étapes 1 à 3.

ƒ "challenge" CHAP = Session ID + nombre aléatoire.

ƒ Authentification basée sur un "secret partagé" dérivé d'un mot de passe

stocké “en clair” sur le NAS.

31

Authentification PPP (3)

• MS-CHAP-v2 (Microsoft PPP CHAP Extensions version 2):

ƒ Authentification mutuelle des deux pairs :
) Le NAS vérifie que le client d'accès a la connaissance du mot de passe de
l'utilisateur et le client d'accès vérifie que le NAS a la connaissance du mot de
passe de l'utilisateur.

ƒ Le serveur utilise les hachés du mot de passe du client, conservés dans

une base de données, plutôt que le mot de passe “en clair”.

32
 Connexion de contrôle PPTP

• Messages de cont rôle ent re client / serveur PPTP :

ƒ Établissement, maintien et terminaison du tunnel PPTP.
ƒ Messages transmis dans des segments TCP.

• Form at d'un Message de cont rôle PPTP :

33

Transmission de données PPTP

• Encapsulat ion des t ram es PPP dans des dat agram m es I P :

ƒ Datagrammes IP créés en utilisant le protocole GRE
Î
GRE : Generic Routing Encapsulation

• Format d'un datagramme IP créé par PPTP :

34
Scénario de la démonstration

35

L2F & L2TP

36
 Layer 2 Forwarding

• Protocole développé Cisco Systems (RFC 2341)

• L2F fournit un tunnel sécurisé entre utilisateurs distants et

la passerelle VPN
ƒ Authentification basée sur PPP / Chiffrement basé sur PPP

• Composants :
ƒ Tunnel L2F entre l’ISP et le serveur d’accès distant
ƒ Connexion PPP entre le client et l’ISP, que l’ISP fait suivre au serveur
d’accès distant via le tunnel L2F

37

Layer 2 Tunneling Protocol

• L2TP = Fusion de PPTP et de L2F ( RFC 2661)

• Transport en t unneling de t ram es PPP via I nt ernet :

ƒ Repose sur le protocole UDP (port 1701) qui lui même repose sur IP
ƒ L'Encapsulation : Layer-2-->IP--> UDP--> L2TP--> PPP--> IP

• Deux com posant s :

ƒ LAC (L2TP Access Concentrator) : Client L2TP (NAS du ISP)
ƒ LNS (L2TP Network Server) : Seveur L2TP

• Tunnel ent re le LAC et le LNS :

ƒ L'utilisateur (mobile) utilise le tunnel L2TP créé à travers internet pour se
relier au réseau privé.

38
 Schéma de l'architecture

39

L2TP Access Concentrator

• Perm et de relayer le t rafic ent re le LNS et l'ut ilisat eur

ƒ Encapsulation de n'importe quel protocole transporté dans la trame PPP.

• Perm et de négocier le LCP et l’aut hent ificat ion de

l'ut ilisat eur :
ƒ Données de négociation recueillies expédiées au LNS.

40
 L2TP Network Server

• Équipem ent final de la connexion PPP

41

L2TP – Résumé
• Schém a prot ocolaire d'ét ablissem ent de t unnel

42
 L2TP/IPSec : Encapsulation

43

Qu e lqu e s Lie n s

• Virt ual Privat e Net w orking in Windows 2000: An Overview.

Microsoft – Whit e paper.

• Les prot ocoles de t unnelisat ion et de sécurisat ion des échanges.

( Hervé Schauer Consult ant s)

• Le prot ocole PPP - Transparent s Ghislaine Labouret

( www.labouret .net / ppp)

• How Virt ual Privat e Net works work. Cisco – Whit e paper.

• Microsoft L2TP/ I PSec VPN Client Overview

• RFC 2661 - Docum ent de norm alisat ion de L2TP

44