VPN Maison
Objectif
Projet en binôme : monter notre propre VPN pour accéder à un réseau privé depuis l'extérieur, à travers Internet, sans confier le chiffrement à un service tiers. Le montage repose sur une Freebox en routeur et un PC sous Windows 11 en serveur, avec OpenVPN.
Maquette sur Packet Tracer
Avant de toucher au matériel, on a rejoué l'architecture sous Cisco Packet Tracer. Trois routeurs : le réseau de l'utilisateur avec son poste et sa box, un routeur central qui fait le lien, et le réseau distant qui héberge le serveur. On y a posé le plan d'adressage, les masques, les passerelles, puis les routes et l'ouverture des interfaces.
Le tunnel a été monté avec ISAKMP pour la négociation du chiffrement et du hachage, IPsec pour le transport, et une ACL qui décrit le trafic à protéger à partir des adresses des deux sous-réseaux. Cette étape a servi de plan avant le passage en réel.
Le serveur OpenVPN
Sur le poste Windows, installation d'OpenVPN 2.6 avec les utilitaires OpenSSL et le pilote TAP / Wintun. Les clés et les certificats ont été générés avec Easy-RSA 3 : autorité de certification, certificat et clé du serveur, paramètres Diffie-Hellman, clé TLS partagée, puis un couple certificat et clé par client.
Le serveur écoute en UDP sur un port dédié, distribue les adresses dans
un sous-réseau réservé aux clients et pousse la route par défaut pour
que tout le trafic du client passe par le tunnel. Chiffrement en
AES-256-GCM et authentification TLS renforcée avec la clé ta.key. Le
pare-feu Windows a été ouvert sur les ports utiles, et le partage de
connexion activé sur l'adaptateur OpenVPN.
Exposer le serveur sur Internet
La box redirige le port du VPN, en UDP et en TCP, vers le poste serveur.
L'adresse publique n'étant pas fixe, un service de DNS dynamique (No-IP)
donne un nom stable, mis à jour directement par la Freebox. Côté
Windows, la valeur de registre IPEnableRouter est passée à 1 pour
autoriser le routage entre l'interface du tunnel et le réseau local.
Le poste client
Le client reçoit son dossier de connexion : identifiants, autorité de certification, son certificat et sa clé. Le fichier de configuration pointe sur le nom DDNS et le port du serveur, en UDP, avec le même chiffrement AES-256-GCM, la vérification du certificat serveur et la clé TLS partagée. Lancé depuis OpenVPN GUI, le poste distant se retrouve sur le réseau privé.
Le partage de fichiers
Pour avoir quelque chose à atteindre à travers le tunnel, le réseau a été basculé en profil privé, la découverte réseau et le partage de fichiers activés, puis un dossier partagé créé et ouvert aux clients du VPN. Dernier point qui compte : régler les options d'alimentation pour que le serveur ne se mette jamais en veille, sinon il devient injoignable.
Ce que ça m'a appris
Un VPN d'accès distant de bout en bout : plan d'adressage, routage, PKI avec Easy-RSA, configuration d'OpenVPN côté serveur et côté client, NAT et DDNS sur la box, durcissement du poste Windows. La maquette Packet Tracer en amont a évité pas mal d'allers-retours au moment du montage réel.