SP3 — Interconnexion de deux sites par VPN IPsec (pfSense)

1. Contexte et besoin

L'agence doit accéder au serveur de fichiers et à l'ERP hébergés au siège. La liaison passe par Internet : il faut donc un canal chiffré, authentifié et permanent entre les deux réseaux privés, sans exposer les services directement sur Internet.

Objectifs :

• Établir un tunnel VPN site à site IPsec entre les deux pare-feu.
• Permettre la communication LAN Siège ⇄ LAN Agence uniquement pour les flux utiles.
• Garantir la confidentialité (chiffrement) et l'intégrité des échanges.
• Documenter la configuration et une procédure de diagnostic.

2. Plan d'adressage

3. Solution mise en œuvre

Paramètres IPsec retenus

Étapes

1. Configuration WAN/LAN des deux pfSense, vérification de la connectivité WAN à WAN.
2. Création de la Phase 1 IPsec sur chaque pare-feu (adresses homologues, PSK, algorithmes identiques).
3. Création de la Phase 2 avec les réseaux locaux de part et d'autre et PFS activé.
4. Ajout des règles de pare-feu sur l'interface IPsec : autorisation des seuls flux nécessaires (SMB, HTTPS ERP, ICMP de test), le reste refusé.
5. Activation des logs IPsec et de la conservation d'état.
6. Tests, puis rédaction de la procédure d'exploitation et de diagnostic.

Extrait — règle de filtrage (interface IPsec, site Siège)

Action  Proto   Source            Destination         Port    Description
PASS    TCP     192.168.2.0/24    192.168.1.10        445     Acces serveur de fichiers
PASS    TCP     192.168.2.0/24    192.168.1.20        443     Acces ERP
PASS    ICMP    192.168.2.0/24    192.168.1.0/24      any     Tests de connectivite
BLOCK   any     192.168.2.0/24    192.168.1.0/24      any     Tout le reste (implicite)

Schéma à insérer : assets/img/sp3-topologie.png.

4. Tests et validation

5. Difficultés rencontrées et solutions

• Phase 2 qui ne monte pas : PFS activé d'un seul côté. Uniformisation des groupes DH.
• Tunnel actif mais aucun ping : il manquait les règles sur l'interface IPsec (trafic autorisé mais non filtré = bloqué par défaut).
• Renégociations fréquentes : durées de vie Phase 2 différentes entre les deux pare-feu ; valeurs alignées.
• MTU / fragmentation : transferts SMB lents ; activation de MSS clamping sur l'interface IPsec.

6. Compétences mobilisées

• Étudier l'impact d'une évolution d'infrastructure
• Maquetter et prototyper une solution
• Installer et configurer un élément d'interconnexion
• Préparer et exécuter les tests de validation
• Évaluer et maintenir la sécurité (chiffrement, filtrage)
• Contrôler les accès entre sites
• Rédiger une documentation technique et de diagnostic

7. Bilan

Les deux sites communiquent de façon chiffrée et le filtrage limite la surface d'exposition au strict nécessaire. J'ai compris l'importance de la symétrie exacte des paramètres IPsec et le rôle des règles sur l'interface de tunnel. Évolutions envisagées : passer la PSK en certificats, ajouter un VPN nomade (OpenVPN) pour le télétravail, et mettre en place une supervision de l'état du tunnel (voir SP2).