Configurer une Interface Virtuelle BOVPN

Lorsque vous configurez une interface virtuelle BOVPN, vous configurez les paramètres de la passerelle BOVPN, les routes VPN et d'autres paramètres VPN. Pour chaque interface virtuelle BOVPN, le Nom du Périphérique est attribué automatiquement et n'est pas configurable. Le Nom du Périphérique est utilisé pour identifier cette interface dans le Rapport d'État de Firebox System Manager.

  1. Sélectionnez VPN > Interfaces Virtuelles BOVPN.
    La liste des Interfaces Virtuelles BOVPN s'affiche.
  2. Cliquez sur Ajouter.
    Les paramètres de l'Interface Virtuelle BOVPN s'affichent.

Screen shot of the BOVPN Virtual Interfaces / Add page

  1. Dans la zone de texte Nom de l'Interface, saisissez un nom pour identifier cette interface virtuelle BOVPN.
  2. Dans la liste déroulante Type d'Endpoint Distant, sélectionnez Firebox ou VPN en Nuage ou Passerelle Tierce.
  • Pour vous connecter à un autre Firebox, ou à un endpoint tiers qui prend en charge GRE par IPSec, sélectionnez Firebox.
  • Pour vous connecter à une passerelle VPN en nuage, telle que Microsoft Azure, Amazon AWS, ou un autre endpoint tiers qui prend en charge les sélecteurs de trafic génériques, sélectionnez VPN en Nuage ou Passerelle Tierce. Lorsque vous sélectionnez cette option, GRE n'est pas utilisé.
  1. (Fireware v12.4 et versions ultérieures) Dans la liste déroulante Famille d'Adresses de Passerelle, sélectionnez Adresses IPv4 ou Adresses IPv6.
  2. Dans la section Méthode d'Identification, sélectionnez Utiliser la clé prépartagée ou Utiliser le certificat IPSec Firebox Certificate pour identifier la procédure d'authentification que le tunnel utilisera.

Si vous sélectionnez Utiliser la clé prépartagée

(Fireware v12.5.4 ou les versions ultérieures) Sélectionnez Chaîne ou Hexadécimal. Le paramètre par défaut est Chaîne. Pour plus d'informations sur les clés hexadécimales, consultez Clés Prépartagées Hexadécimales.

Tapez ou collez la clé partagée. Vous devez utiliser la même clé partagée sur le périphérique distant. Cette clé partagée chaîne doit uniquement utiliser des caractères ASCII standard, et avoir 79 caractères maximum. Une clé pré-partagée hexadécimale peut inclure n'importe quelle combinaison ou quantité de caractères hexadécimaux.

Si vous sélectionnez Utiliser le Firebox Certificate IPSec

Le tableau sous le bouton montre les certificats actuels sur le périphérique qui incluent l'identifiant Extended Key Usage (EKU) appelé « Sécurité IP IKE intermédiaire » (OID 1.3.6.1.5.5.8.2.2). Vous pouvez également sélectionner un certificat qui ne comprend pas d'identifiant EKU. Pour voir une liste des certificats disponibles qui ne comprennent pas un identifiant EKU, sélectionnez Afficher Tous les Certificats. Dans Fireware v12.5 et versions ultérieures, vous pouvez sélectionner un certificat ECDSA (EC).

(Fireware v12.6.2 ou les versions ultérieures) Lorsque vous sélectionnez un certificat pour l'authentification, vous pouvez spécifier un certificat CA pour la vérification du pair VPN dans les paramètres du endpoint de la passerelle.

  1. Dans la section Endpoint de Passerelle, ajoutez au moins une paire d'endpoints de passerelle.

Pour plus d'informations sur les certificats, voir Certificats pour l'Authentification des Tunnels Branch Office VPN (BOVPN).

Pour plus d'informations sur les endpoints de passerelle, consultez Définir des Endpoints de Passerelle pour une Interface Virtuelle BOVPN.

  1. Sélectionnez VPN > Interfaces Virtuelles BOVPN.
    La boîte de dialogue Interfaces Virtuelles BOVPN apparaît.
  2. Cliquez sur Ajouter.

    La boîte de dialogue Nouvelle Interface Virtuelle BOVPN apparaît.

Screen shot of the New BOVPN Virtual Interface dialog box, Gateway Settings tab

  1. Dans la zone de texte Nom de l'Interface, saisissez un nom pour identifier cette interface virtuelle BOVPN.
  2. Dans la liste déroulante Type d'Endpoint Distant, sélectionnez Firebox ou VPN en Nuage ou Passerelle Tierce.
  • Pour vous connecter à un autre Firebox, ou à un endpoint tiers qui prend en charge GRE par IPSec, sélectionnez Firebox.
  • Pour vous connecter à une passerelle VPN en nuage, telle que Microsoft Azure, Amazon AWS, ou un autre endpoint tiers qui prend en charge les sélecteurs de trafic génériques, sélectionnez VPN en Nuage ou Passerelle Tierce. Lorsque vous sélectionnez cette option, GRE n'est pas utilisé.
  1. (Fireware v12.4 et versions ultérieures) Dans la liste déroulante Famille d'Adresses de Passerelle, sélectionnez Adresses IPv4 ou Adresses IPv6.
  2. Dans la section Méthode d'Identification, sélectionnez Utiliser la clé prépartagée ou Utiliser le certificat IPSec Firebox Certificate pour identifier la procédure d'authentification que le tunnel utilisera.

Si vous sélectionnez Utiliser la clé prépartagée

(Fireware v12.5.4 ou les versions ultérieures) Sélectionnez Chaîne ou Hexadécimal. Le paramètre par défaut est Chaîne. Pour plus d'informations sur les clés hexadécimales, consultez Clés Prépartagées Hexadécimales.

Tapez ou collez la clé partagée. Vous devez utiliser la même clé partagée sur le périphérique distant. Cette clé partagée chaîne doit uniquement utiliser des caractères ASCII standard, et avoir 79 caractères maximum. Une clé pré-partagée hexadécimale peut inclure n'importe quelle combinaison ou quantité de caractères hexadécimaux.

Si vous sélectionnez Utiliser le Firebox Certificate IPSec

Le tableau sous le bouton montre les certificats actuels sur le périphérique qui incluent l'identifiant Extended Key Usage (EKU) appelé « Sécurité IP IKE intermédiaire » (OID 1.3.6.1.5.5.8.2.2). Vous pouvez également sélectionner un certificat qui ne comprend pas d'identifiant EKU. Pour voir une liste des certificats disponibles qui ne comprennent pas un identifiant EKU, sélectionnez Afficher Tous les Certificats. Dans Fireware v12.5 et versions ultérieures, vous pouvez sélectionner un certificat ECDSA (EC).

(Fireware v12.6.2 ou les versions ultérieures) Lorsque vous sélectionnez un certificat pour l'authentification, vous pouvez spécifier un certificat CA pour la vérification du pair VPN dans les paramètres du endpoint de la passerelle.

Pour plus d'informations, consultez Certificats pour l'Authentification des Tunnels Branch Office VPN (BOVPN).

  1. Dans la section Endpoints de Passerelle, ajoutez au moins une paire d'endpoints de passerelle. Pour plus d'informations, consultez Définir des Endpoints de Passerelle pour une Interface Virtuelle BOVPN.

L'onglet Paramètres de la Passerelle inclut également ces paramètres.

Utiliser un modem pour le basculement

Si vous avez une interface modem configurée sur votre Firebox, vous pouvez cocher cette case pour configurer le réseau Branch Office VPN afin qu'il bascule vers un modem si aucune interface externe n'arrive à se connecter. Vous ne pouvez pas cocher cette case si l'enpoint de passerelle locale utilise une interface modem.

Dans Policy Manager dans Fireware v12.0.2 et les versions antérieures, cette case n'apparaît pas si le basculement par modem est désactivé. Dans Fireware Web UI dans Fireware v12.0.2 et les versions antérieures, vous ne pouvez pas cocher cette case si le basculement par modem est désactivé. Pour plus d'informations, consultez Configurer le Basculement de Modem VPN.

Vous ne pouvez pas utiliser de modem pour le basculement depuis une interface virtuelle BOVPN si un endpoint de passerelle locale utilise une interface qui n'est pas externe.

Démarrer le tunnel de Phase 1 en cas d'inactivité

Une fois cette option sélectionnée, le Firebox redémarre automatiquement le tunnel s'il n'est pas actif. Cette case à cocher est cochée par défaut dans Fireware Web UI. Décochez cette case si vous ne voulez pas que le Firebox démarre automatiquement le tunnel.

Si vous décochez cette case, le Firebox continue de redémarrer automatiquement le tunnel lorsqu'il est inactif si l'une des stratégies utilise le routage basé sur stratégie pour acheminer le trafic sortant vers cette interface virtuelle BOVPN.

Ajouter ce tunnel à ces stratégies BOVPN-Allow

Une fois sélectionnée, cette option ajoute le tunnel aux stratégies BOVPN-Allow.in et BOVPN-Allow.out. Ces stratégies autorisent tout le trafic correspondant aux routes du tunnel.

Si vous souhaitez restreindre le trafic passant dans le tunnel, décochez cette case et créez des stratégies personnalisées pour les types de trafic que vous voulez autoriser à passer par le tunnel. Pour créer des stratégies personnalisées dans Policy Manager, utilisez le BOVPN Policy wizard, tel que décrit dans Définir des Stratégies de Tunnel Personnalisées.

Autres Onglets (Routes VPN, Phases 1 et 2, Multidiffusion)

Les autres onglets permettant de configurer ces paramètres pour l'interface virtuelle BOVPN :

  • Sélectionnez l'onglet Routes VPN pour ajouter des routes que vous souhaitez utiliser avec cette interface virtuelle VPN et pour configurer des adresses IP de l'interface virtuelle à utiliser dans le routage dynamique. Dans Fireware v12.5.4 ou les versions ultérieures, vous pouvez spécifier une unité de transmission maximale (MTU) dans Fireware Web UI et Policy Manager. Pour plus d'informations, consultez Configurer des Routes VPN et Configurer une Valeur Maximum Transmission Unit (MTU).
  • Sélectionnez l'onglet Paramètres de Phase 1 pour configurer les paramètres de Phase 1 pour cette interface virtuelle BOVPN. Ces paramètres sont identiques aux paramètres de Phase 1 que vous pouvez configurer pour une passerelle BOVPN. Pour plus d'informations, consultez Configurer les Paramètres IPSec de Phase 1.
  • Sélectionnez l'onglet Paramètres de Phase 2 pour configurer les paramètres de Phase 2 pour cette interface virtuelle BOVPN. Ces paramètres sont identiques aux paramètres de Phase 1 que vous pouvez configurer pour un tunnel BOVPN. Pour plus d'informations, consultez Configurer les Paramètres de Phase 2.
  • Sélectionnez l'onglet Paramètres de multidiffusion pour activer le routage de multidiffusion sur le tunnel. Pour plus d'informations, consultez Configurer les Paramètres de Multidiffusion d'une Interface Virtuelle BOVPN.

Exécuter le Rapport de Configuration de l'Interface Virtuelle BOVPN

Après avoir ajouté une passerelle, vous pouvez exécuter un rapport pour consulter un résumé de l'ensemble des paramètres de l'interface virtuelle BOVPN. Ce rapport peut être utile si vous avez besoin de dépanner le VPN. Il peut également faciliter la comparaison des paramètres configurés avec les paramètres du périphérique d'endpoint VPN distant.

Pour exécuter le rapport, sur la page VPN > Interfaces Virtuelles BOVPN :

  1. Sélectionnez une interface virtuelle BOVPN configurée.
  2. Cliquez sur Rapport.

Pour plus d'informations sur ce rapport, consultez Utiliser les Rapports de Configuration BOVPN.

Voir Également

À propos des Interfaces Virtuelles BOVPN

Exemples d'Interface Virtuelle BOVPN

Configurer un BOVPN Vers un Firebox Géré Localement ou un Endpoint VPN Tiers

Interface Virtuelle BOVPN pour Routage Dynamique vers Cisco

Interface Virtuelle BOVPN pour Routage Dynamique vers Microsoft Azure

Interface Virtuelle BOVPN de Routage Statique vers Microsoft Azure

Interface Virtuelle BOVPN de Routage Dynamique vers Amazon Web Services (AWS)

Interface Virtuelle BOVPN de Routage Statique vers Amazon Web Services (AWS)

Configurer une Valeur Maximum Transmission Unit (MTU)