Protocoles de tunnellisation et de chiffrement

Un tunnel VPN est créé par des protocoles précis qui définissent la manière dont le trafic est encapsulé, chiffré et authentifié. Chaque protocole répond à des besoins différents, en équilibrant sécurité, vitesse et compatibilité.

Les deux géants de la technologie VPN sont IPsec et SSL/TLS. Comprendre leurs rôles vous aide à voir comment sont construits la plupart des VPN que vous rencontrerez.

IPsec (sécurité du protocole Internet) est une suite de protocoles qui sécurise le trafic au niveau réseau (couche 3). Il peut chiffrer et authentifier chaque paquet entre deux points de terminaison et constitue la base de la plupart des VPN de site à site.

Comme il fonctionne à la couche 3, IPsec protège tout le trafic de manière transparente, quelle que soit l’application qui l’envoie, ce qui le rend idéal pour connecter des réseaux entiers.

IPsec utilise plusieurs éléments :

• AH (en-tête d’authentification) : assure l’intégrité et l’authentification, mais pas le chiffrement.
• ESP (charge utile de sécurité encapsulée) : assure le chiffrement ainsi que l’intégrité ; c’est l’élément le plus utilisé.
• IKE (échange de clés Internet) : négocie les clés et établit l’association sécurisée.

ESP associé à IKE est la combinaison courante qui assure une confidentialité et une intégrité complètes.

IPsec fonctionne selon deux modes. Le mode transport chiffre uniquement la charge utile du paquet et conserve l’en-tête IP d’origine ; il est utilisé pour les liaisons d’hôte à hôte. Le mode tunnel chiffre le paquet d’origine entier et l’enveloppe dans un nouveau paquet.

Le mode tunnel est utilisé par les VPN de site à site, car il masque l’adressage interne et protège le paquet d’origine complet entre les deux passerelles.

Les VPN SSL/TLS (couche de sockets sécurisée / sécurité de la couche transport) sécurisent le trafic à un niveau supérieur et fonctionnent souvent directement dans un navigateur web ou avec un client léger. TLS est le même protocole que celui qui sécurise les sites HTTPS.

Les VPN SSL sont populaires pour l’accès distant client, car ils sont faciles à déployer, traversent facilement les pare-feu et la NAT, et peuvent ne nécessiter aucun logiciel spécial au-delà d’un navigateur.

Ces deux technologies excellent dans des domaines différents :

• IPsec : idéal pour le site à site et l’accès à des réseaux entiers, mais peut rencontrer des difficultés avec la NAT et les pare-feu et nécessite davantage de configuration.
• SSL/TLS : idéal pour l’accès client à des applications précises et compatible avec les navigateurs et les pare-feu.

De nombreuses organisations utilisent IPsec entre leurs bureaux et SSL/TLS pour les utilisateurs distants.

Les protocoles plus récents améliorent les protocoles classiques. WireGuard est un protocole moderne, rapide et léger, doté d’une base de code réduite, plus facile à auditer et très efficace.

OpenVPN est une solution open source flexible et largement utilisée, fondée sur TLS. IKEv2/IPsec est privilégié sur les appareils mobiles, car il se reconnecte rapidement lorsque le réseau change, par exemple lors du passage du Wi-Fi au réseau cellulaire.

Certains anciens protocoles VPN ne sont plus sécurisés et ne doivent pas être utilisés. Le PPTP (protocole de tunnellisation point à point) présente des faiblesses connues et un chiffrement compromis. Le L2TP simple (protocole de tunnellisation de couche 2) n’offre aucun chiffrement par lui-même et doit être associé à IPsec.

Il est important de reconnaître les protocoles obsolètes : les utiliser procure un faux sentiment de sécurité tout en laissant le trafic exposé.

Tous ces protocoles reposent sur la cryptographie. Ils utilisent le chiffrement symétrique (une clé partagée) pour les gros volumes de données, car il est rapide, ainsi que le chiffrement asymétrique (paires de clés) et des algorithmes d’échange de clés pour convenir en toute sécurité de cette clé partagée.

Des chiffrements modernes robustes et un échange de clés correctement réalisé rendent un tunnel véritablement sécurisé ; une cryptographie faible ou obsolète compromet même un VPN bien conçu.

La configuration d’un VPN s’articule autour des points de terminaison, des clés et du trafic autorisé. Cet extrait simplifié montre le type de paramètres utilisé par un pair WireGuard.

IPsec sécurise le trafic à la couche 3 à l’aide de ESP et d’IKE, avec le mode tunnel pour les liaisons de site à site. Les VPN SSL/TLS sécurisent l’accès client et sont compatibles avec les navigateurs et les pare-feu. Les solutions modernes comme WireGuard, OpenVPN et IKEv2 améliorent la vitesse et la mobilité, tandis qu’il faut éviter le PPTP obsolète.

Testez vos connaissances sur les protocoles VPN.

IPsec sécurise le trafic au niveau réseau avec AH, ESP et IKE, en utilisant le mode tunnel pour les VPN de site à site. Les VPN SSL/TLS conviennent à l’accès client via un navigateur. Les protocoles modernes comprennent WireGuard, OpenVPN et IKEv2, tandis que les solutions obsolètes non sécurisées comme le PPTP doivent être abandonnées.