Routage et passerelles VPN sous Windows Server 2012

5. Création et configuration des passerelles VPN

Pour le moment, nos serveurs VPN1 et VPN2 agissent en tant que serveurs VPN et en tant que routeurs.
Néanmoins, pour le moment, personne n'a le droit de s'y connecter, car le serveur NPS bloque tous les accès VPN par défaut.

Pour plus d'informations, consultez ceci : Autoriser la connexion VPN pour un utilisateur

5.1. Création des utilisateurs

Pour que nos 2 serveurs VPN soient connectés l'un à l'autre, nous allons d'abord devoir créer de nouveaux utilisateurs.

Sur le serveur DC1 (situé à Bruxelles), nous allons créer un nouvel utilisateur nommé : paris

Ensuite, allez dans les propriétés de cet utilisateur, puis dans l'onglet "Appel entrant".
Dans cet onglet, sélectionnez "Autoriser l'accès" dans la partie "Autorisation d'accès réseau".

Cela autorisera cet utilisateur à se connecter via le serveur VPN.

Note : si vous souhaitez utiliser des stratégies pour autoriser cet utilisateur dans certains cas, alors utilisez NPS comme indiqué à l'étape "7. NPS (Network Policy Server)" de notre précédent tutoriel.

Sur le serveur DC2 (situé à paris), nous allons créer un utilisateur "bruxelles".

Et l'autoriser à se connecter via VPN.

5.2. Connexion du site 1 (Bruxelles) au site 2 (Paris)

Sur le serveur VPN du 1er réseau (situé à Bruxelles), allez dans la console "Routage et accès distant" et faites un clic droit "Nouvelle interface de connexion à la demande" sur "Interfaces réseau".

L'assistant "Interface de connexion à la demande" s'affiche.
Comme vous l'aurez compris, il s'agira d'une connexion à la demande. Ce qui signifie que la connexion sera établie entre les 2 sites (Bruxelles et Paris dans notre cas), uniquement lorsqu'une personne du réseau tentera de se connecter au réseau distant. Le reste du temps, cette connexion sera déconnectée. Ce qui permettra d'économiser de la bande passante.

Etant donné que l'on se trouve sur le serveur de Bruxelles, cette connexion à la demande nous permettra de nous connecter à Paris.
Donc, nous indiquer "paris" pour le nom de cette nouvelle interface.

Choisissez "Se connecter en utilisant un réseau privé virtuel (VPN)".

Choisissez "PPTP" dans un 1er temps (car ce protocole est plus simple à utiliser pour commencer).

Indiquez l'adresse IP externe de votre serveur VPN.
En règle générale, il s'agira de l'adresse IP publique du serveur distant fournie par votre fournisseur d'accès à Internet (FAI).

Note : sur l'image ci-dessous, vous remarquerez qu'il s'agit d'une adresse IP privée, car nous avons testé cette solution VPN dans notre réseau local. Mais, le principe est le même.

Cochez la case "Router les paquets IP sur cette interface".

Pour les itinéraires statiques, ceci permettra à votre serveur de savoir quelles adresses IP privées font partie du réseau distant.
En d'autres termes, quand votre serveur tentera d'accès à l'adresse IP LAN d'un serveur du réseau distant, il saura qu'il devra passer par cette connexion à la demande pour y accéder.

Cliquez sur Ajouter.

Comme nous sommes sur notre serveur VPN1, cette connexion à la demande nous permettra d'accéder aux machines de notre 2ème réseau (Paris).
Les adresses IP de ce 2ème réseau commencent, dans notre cas, par : 10.0.2
Donc, l'ID réseau sera 10.0.2.0 et le masque de sous-réseau que nous utiliserons sera : 255.255.255.0

Comme indiqué sur la page "Créer un itinéraire statique" du Technet de Microsoft, le métrique correspond en théorique (car ce n'est pas obligatoire) au nombre de routeurs présents entre le serveur et le réseau de destination.
Si Windows trouve plusieurs itinéraires statiques pour un même réseau de destination, il utilisera celui qui possède le métrique le plus faible, car il s'agira du chemin qui devrait être le plus rapide.
Dans notre cas, il n'y en aura qu'un, donc nous indiquerons : 1

Cliquez sur "Suivant".

Pour que le serveur VPN de Bruxelles puisse se connecter au serveur VPN de Paris, il faut qu'il possède les identifiants d'un compte présent sur le serveur de Paris.
Etant donné que le serveur VPN de Paris est lié à l'Active Directory de Paris, nous pouvons nous connecter avec l'utilisateur "bruxelles" que nous y avions créé.

Note : si votre serveur VPN n'est pas membre d'un domaine, il suffira de créer un utilisateur local sur ce serveur distant et d'utiliser ses identifiants ici. Pour domaine, il suffira de laisser la case vide.

La connexion à la demande est configurée.

Maintenant, notre serveur VPN1 (situé à Bruxelles) possède une interface réseau qui lui permettra de se connecter au réseau local de Paris.

5.3. Connexion du site 2 (Paris) au site 1 (Bruxelles)

Maintenant, nous devons aussi configurer le serveur VPN de Paris pour que celui-ci se connecte au serveur VPN de Bruxelles.
Etant donné que le principe est le même, nous n'expliquerons pas en détail cette 2ème configuration.

Sur le serveur 2, créez une nouvelle interface de connexion à la demande.

L'assistant s'affiche.

Paris se connectera à Bruxelles.

Il s'agira aussi d'une connexion VPN.

Choisissez "PPTP" comme tout à l'heure.

Indiquez l'adresse IP externe du serveur VPN distant (celui de Bruxelles, dans notre cas).

Cochez la case "Router les paquets IP sur cette interface".

Cliquez sur Ajouter.

Le réseau distant (de Bruxelles) utilise des adresses IP privées commençant par : 10.0.1

Cliquez sur Suivant.

Paris se connectera à Bruxelles avec le compte "paris" créé sur le serveur Active Directory de Bruxelles.

La connexion à la demande est configurée.

Maintenant, le serveur VPN de Paris pourra se connecter au réseau local de Bruxelles en utilisant cette connexion à la demande.