Qu'est-ce qu'un VPN d'accès à distance (RAV) ?

Le VPN d'accès à distance (RAV) est un service VPN qui permet à un utilisateur individuel distant d'établir un tunnel sécurisé et chiffré depuis son propre appareil vers le réseau d'une entreprise, plutôt que de relier deux réseaux entre eux. Ce service authentifie l'utilisateur, chiffre l'ensemble du trafic en transit et permet à l'appareil d'accéder aux ressources internes comme s'il était connecté localement.

Points clés à retenir

• RAV connecte l'appareil d'un utilisateur distant à l'entreprise, et non deux sites.
• Le client s'authentifie, puis achemine le trafic via un tunnel vers une passerelle ou un équipement de succursale.
• IPsec et DTLS/SSL sont les deux protocoles de tunnel les plus couramment utilisés aujourd'hui.
• Une passerelle doit disposer d'une adresse IP publique statique et de certificats pour mettre fin aux sessions.
• Le ZTNA remplace de plus en plus l'accès RAV « plat » par des politiques spécifiques à chaque application.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · RAV & Versa · FAQ

Pourquoi le RAV est-il important ?

Avant l'apparition des VPN d'accès à distance, accéder aux applications internes depuis l'extérieur du bureau impliquait soit d'utiliser des lignes commutées, soit de ne pas y avoir accès du tout. RAV a résolu ce problème en permettant à tout utilisateur authentifié, où qu'il se trouve sur Internet, d'ouvrir un tunnel crypté menant directement au réseau de l'entreprise – une technologie qui a rendu le télétravail viable sur le plan opérationnel bien avant qu'il ne devienne une norme.

Cette solution reste importante car elle constitue encore aujourd’hui le moyen par défaut utilisé par de nombreuses organisations pour étendre l’accès au réseau aux ordinateurs portables, aux prestataires externes et aux appareils sur le terrain. Un service RAV correctement configuré protège les données en transit sur des réseaux non fiables et centralise l’authentification. Le compromis – et la raison pour laquelle les architectures plus récentes sont en train de la supplanter – réside dans le fait que le RAV classique accorde généralement une large accessibilité au réseau une fois la connexion établie, soit un accès plus étendu que ce dont la plupart des sessions ont réellement besoin.

Qu'est-ce que le RAV ?

Un VPN d'accès à distance comporte deux extrémités : un client installé sur l'ordinateur portable, le téléphone ou la tablette de l'utilisateur, et une passerelle située à la périphérie du réseau d'entreprise. Le client authentifie l’utilisateur – à l’aide d’un mot de passe local, d’une connexion LDAP/Active Directory, d’un fournisseur d’identité SAML ou d’un certificat – et établit un tunnel avec la passerelle. Une fois le tunnel établi, le trafic du client est chiffré et acheminé vers la passerelle, qui le déchiffre et le transmet au réseau interne comme si l’appareil était connecté localement.

Deux modèles de politique permettent de contrôler le trafic non lié à l'entreprise. Le « tunnel complet » achemine l'intégralité du trafic, y compris la navigation générale sur Internet, via le tunnel vers la passerelle. Le « tunnel partagé » achemine uniquement le trafic destiné aux ressources internes via le tunnel, tandis que le trafic Internet sort localement, ce qui réduit la charge de la passerelle au détriment d'une inspection centralisée de ce trafic.

Types de RAV

Deux technologies de tunnel s’imposent. Le VPN d’accès à distance IPsec établit un tunnel au niveau de la couche IP, authentifié et chiffré à l’aide des protocoles IKE et ESP ; il est efficace et particulièrement adapté aux logiciels clients fonctionnant en mode « toujours actif » avec un tunnel complet. Le VPN SSL/TLS (y compris les variantes basées sur DTLS) utilise les mêmes ports que ceux déjà utilisés par le trafic Web, ce qui lui permet de traverser les pare-feu restrictifs de manière plus fiable et prend en charge à la fois les clients installés et, dans certains produits, un accès sans client, uniquement via un navigateur.

Un troisième modèle tend de plus en plus à supplanter ces deux approches : l’accès à distance basé sur le ZTNA, qui supprime totalement le tunnel au niveau du réseau et gère à la place l’accès application par application après avoir vérifié en continu l’identité de l’utilisateur et l’état de sécurité de l’appareil. Alors que le RAV classique intègre un appareil distant au réseau, le ZTNA n’étend jamais la confiance au niveau du réseau : il autorise une seule connexion d’application à la fois.

RAV & Versa

Versa fournit un VPN d’accès à distance sous forme de service complémentaire sous licence sur les appareils VOS, configuré via un modèle de serveur d’accès à distance (RAS) et un profil de client terminal « Versa ». Son activation nécessite un port WAN doté d’une adresse IP publique statique et d’un nom de domaine complet (FQDN), ainsi que des certificats CA publics téléchargés – configurés dans la section « Configurer un service client terminal (VPN d’accès à distance) ». Le modèle de client terminal définit l’authentification (locale, LDAP ou SAML), les paramètres DNS transmis aux clients, ainsi que les règles de sécurité client appliquées en fonction de l’emplacement, de l’adresse, de l’appareil ou du groupe d’utilisateurs.

Le client Secure Access (VSA) d’ Versa se connecte via un tunnel IPsec ou DTLS (tunnel complet uniquement) et prend en charge l’authentification à deux facteurs via une application d’authentification ou un mot de passe à usage unique (OTP) envoyé par e-mail. Un pool d’adresses de tunnel IPsec attribue une adresse IP à chaque client, et une règle de pare-feu par défaut régit le trafic du client VSA entrant dans le réseau. Consultez les notes de mise à jour d’Titan pour connaître le comportement et les limitations spécifiques à chaque version de RAV.

Questions fréquentes

Quelle est la différence entre un VPN d'accès à distance et un VPN de site à site ?

Un VPN d'accès à distance relie l'appareil d'un utilisateur au réseau d'une entreprise. Un VPN de site à site relie deux réseaux entre eux – par exemple une succursale et un centre de données – et achemine le trafic de tous les appareils situés derrière chaque extrémité.

Quelle est la différence entre un « split tunnel » et un « full tunnel » ?

Le « tunnel complet » achemine tout le trafic client, y compris la navigation générale sur Internet, via la passerelle VPN. Le « tunnel partiel » achemine uniquement le trafic destiné aux ressources internes via le tunnel et laisse le reste du trafic sortir localement, ce qui réduit la charge mais évite l'inspection centralisée de ce trafic.

Le ZTNA remplace-t-il le VPN d'accès à distance ?

De plus en plus, oui. Le ZTNA accorde un accès application par application après avoir vérifié en continu l'identité et l'état de sécurité de l'appareil, au lieu de connecter l'appareil distant au réseau comme le fait un VPN classique, ce qui élimine le risque de mouvement latéral généré par un tunnel plat au niveau du réseau.

Quelles méthodes d'authentification un VPN d'accès à distance prend-il en charge ?

Parmi les options courantes, on trouve l'utilisation d'un nom d'utilisateur et d'un mot de passe locaux, les connexions via LDAP ou Active Directory, ainsi que l'authentification unique SAML via un fournisseur d'identité. De nombreux déploiements intègrent une authentification à deux facteurs, telle qu'un mot de passe à usage unique ou une application d'authentification, en complément de la méthode principale.

De quoi une passerelle a-t-elle besoin pour mettre fin à des connexions VPN d'accès à distance ?

Il faut une adresse IP publique accessible, généralement statique, ainsi qu'un nom de domaine complet (FQDN) auquel les clients se connectent, sans oublier une chaîne de certificats publics valide afin que les clients puissent établir un tunnel sécurisé et authentifié avant que le trafic ne commence à circuler.

En savoir plus sur RAV

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au RAV, voici quelques liens qui pourraient vous intéresser.