Mise en place d'une architecture VPN MPLS avec gestion du temps de connexion et de la bande passante utilisateur

IV-5.6 L'agent de stratégie IPSec

    L'agent de stratégie IPSec doit être installé sur chaque poste Windows Client et être chargé à chaque démarrage. Il permet de lire la stratégie propre à l'ordinateur local et permet de la déployer en transférant les informations sur l'ordinateur par des services d'intégrité et de chiffrement des données. Ces informations sont réparties entre le registre de l'ordinateur, le pilote IPSec et le service ISAKMP/Oakley^16(*). Dans le cas où aucune stratégie n'est lue, il trouve une stratégie par défaut dans le registre et se charge de la déployer.

IV-5.7 Administration de clé ISAKMP/Oakley

    Les 2 protocoles ISAKMP et Oakley ne fonctionnent que si l'agent de stratégie IPSec n'est pas en cours d'exécution. Ce service doit être implanté sur chaque poste Windows Client et permet lors de la communication IPSec de générer des clés et définir les propriétés de sécurité entre 2 hôtes.

§         Internet Security Association and Key Management Protocol : Gère l'administration des associations de sécurité.

§         Oakley : Génère les clés qui permettront de chiffrer et de déchiffrer les données transitant sur le canal sécurisé.

  L'association des 2 protocoles permet de créer un canal sécurisé entre les deux hôtes en se servant de l'authentification des ordinateurs, et, de faire l'échange des données qui permettra de créer la clé secrète partagée. Cette clé sera utilisée pour crypter et décrypter les données envoyées via le réseau. ISAKMP/Oakley crée ainsi un contrat de confiance entre les deux ordinateurs puis envoie la clé et ce contrat au pilote IPSec.

IV-5.8 Le pilote IPSec

    Nommé IPSEC.sys, le pilote IPSec doit également être présent sur chaque poste Windows Client. Il permet de contrôler les paquets IP et d'effectuer les vérifications avec les stratégies de sécurité locale et les filtres IP mis en place.

IV-5.9 Processus d'établissement d'une connexion

    Afin de mettre en place un processus d'établissement d'une connexion, faisons l'étude d'un cas d'égal à égal :

 L'hôte A est un utilisateur itinérant qui se connecte via une liaison spécialisée vers l'hôte B qui est un serveur de base de données interne à son entreprise. Cette connexion pour des raisons de confidentialité et de sécurité doit être protégée. La sécurité IPSec est alors déployée afin de garantir le cryptage des données et l'authentification des 2 hôtes.La connexion va donc se dérouler en 6 étapes :

Figure 10 : Processus d'établissement d'une connexion

§ 1^ère étape : L'hôte A cherche à télécharger des données situées sur le serveur FTP. Pour ce faire, il lance une transaction vers ce dernier. Le pilote IPSec de l'hôte A signale au service ISAKMP/Oakley que la stratégie de sécurité nécessite l'IPSec. On utilise alors les stratégies utilisées par l'agent de stratégie dans la base de registre.

§ 2^ème étape : Le Service ISAKMP/Oakley des deux hôtes génère une clé partagée et une association de sécurité (contrat de confiance).

§ 3^ème étape : Les pilotes IPSec des deux hôtes prennent chacun la clé et l'association.

§ 4^ème étape : Les données envoyées par l'hôte A sont cryptées grâce à la clé (processus géré par le pilote IPSec).

§ 5^ème étape : Le serveur hôte B reçoit les données et les décrypte grâce au pilote IPSec qui connaît la clé partagée et l'association de sécurité.

§ 6^ème étape : Les données sont ensuite transmises à la couche d'application (couche 7 du modèle OSI).

* ¹⁶Internet Security Association and Key Management Protocol