Qu'est-ce qu'un tunnel site à site ?

Un tunnel site à site (S2S) est une connexion cryptée IPsec ou GRE entre une passerelle Versa SASE ou un périphérique VOS et un réseau homologue – un centre de données d'entreprise, une passerelle VPC ou VNet dans le cloud, ou encore un périphérique tiers. Il achemine le trafic privé lié aux applications et à l'intégration entre deux réseaux, comme s'ils étaient directement reliés par câble.

Points clés à retenir

• Les tunnels S2S utilisent IPsec ou GRE pour connecter une passerelle Versa à un pair.
• Les entités homologues comprennent les centres de données, les VPC/VNet dans le cloud et les appareils tiers.
• Pour assurer la haute disponibilité (HA), il est recommandé d'utiliser le protocole BGP avec des tunnels redondants plutôt que des routes statiques.
• Concerto prend en charge les interfaces de tunnel IPsec, GRE, EoGRE et Genève.
• Les passerelles cloud VOS restent passives ; c'est toujours la succursale qui lance la connexion tunnel.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Tunnels site à site et Versa · FAQ

Pourquoi les tunnels site à site sont-ils importants ?

La majeure partie du trafic d’entreprise doit encore atteindre une destination autre que la structure SD-WAN elle-même : un centre de données hébergeant des applications existantes, un VPC cloud exécutant des charges de travail en production, ou le cloud d’un partenaire de sécurité tel que Zscaler. Les circuits privés vers chacune de ces destinations ne sont pas évolutifs ; les tunnels de site à site offrent la même accessibilité privée et chiffrée via un transport Internet classique, sans nécessiter un client dédié sur l’appareil de chaque utilisateur, contrairement aux VPN d’accès à distance.

Étant donné qu’un tunnel site à site est souvent la seule voie d’accès à une ressource critique, la manière dont il tombe en panne est tout aussi importante que la manière dont il établit la connexion. Une route statique unique ne permet pas de détecter rapidement une panne silencieuse ; l’association de tunnels redondants avec le BGP et le BFD permet de contourner un chemin inopérant en quelques secondes, tandis qu’un deuxième tunnel vers une passerelle géographiquement distincte offre une protection contre une panne régionale du côté du pair, et pas seulement au niveau de la liaison.

Qu'est-ce qu'un tunnel site à site ?

Un tunnel site à site est configuré sous la forme d'une interface de tunnel virtuelle qui encapsule le trafic à l'aide d'un protocole point à point – le plus souvent IPsec, qui authentifie et chiffre le trafic, ou GRE, qui l'encapsule sans le chiffrer lui-même. Le tunnel relie un dispositif CPE VOS (physique ou basé sur le cloud) à un pair : un service géré dans le cloud ou un dispositif tiers prenant en charge le même protocole.

Il existe deux modèles de configuration selon la plateforme. Dans Versa Director, les tunnels sont définis dans l’onglet « Tunnels » d’un modèle de workflow, puis associés à un périphérique. Dans Concerto, un tunnel site à site est ajouté directement en tant qu’interface réseau, dans la catégorie « Tunnel site à site » ou « Tunnel site à site de sous-locataire ». Les tunnels peuvent également être basés sur des routes, la table de routage (statique ou BGP) sélectionnant alors le tunnel qui achemine le trafic, ou basés sur des politiques, des règles explicites de source/destination/port sélectionnant le tunnel – cette dernière option étant nécessaire pour certains pairs tiers qui ne prennent pas en charge la configuration basée sur les routes.

Types de tunnels site à site

Les interfaces de tunnel de Concerto prennent en charge quatre sous-catégories d’encapsulation : IPsec (chiffré, par défaut), GRE, EoGRE (Ethernet sur GRE, pour les services de mobilité des passerelles résidentielles) et Genève (trames de couche 2 encapsulées dans UDP). Le modèle de workflows de Director organise quant à lui les tunnels par type de pair nommé : AWS Transit Gateway (IPsec ou GRE, automatisé par Director côté AWS), Azure Virtual WAN (IPsec), Zscaler (IPsec ou GRE, deux tunnels requis pour la redondance), un tunnel géré par Director entre un fournisseur et un locataire Versa Director (étendant les passerelles d’accès SaaS, les Cloud Service Gateways et les hubs d’ Titan s à un locataire), et « Autres », pour les pairs IPsec tiers génériques tels que les appareils Cisco, Juniper ou Palo Alto.

Tunnels de site à site et Versa

La configuration d’un tunnel site à site dans Director consiste à l’intégrer dans l’onglet « Tunnels » d’un modèle de workflow, à choisir un type de pair, un protocole de tunnel, un réseau WAN/LAN et un VRF LAN, puis à associer le modèle à un périphérique ; les champs spécifiques au pair concernent les numéros AS BGP, les PSK et l’adressage NAT. Dans Concerto, on obtient le même résultat en ajoutant une interface « Tunnel site à site » directement sous « Interfaces réseau », en configurant les paramètres IKE/IPsec et en choisissant un type de tunnel basé sur les routes ou sur les politiques.

VersaLe guide d’intégration SD-WAN et SSE explique en détail le déploiement de tunnels site à site entre une succursale VOS et une passerelle VOS Cloud Gateway (VCG) – le point d’application SSE – dans des topologies à CPE unique ou double, et à WAN unique ou double. Les VCG VOS exécutent IKE en mode passif par défaut ; c’est donc toujours la succursale qui initie le tunnel. La combinaison de BGP et de BFD est le mécanisme de basculement recommandé sur les tunnels redondants, et un deuxième tunnel vers une VCG géographiquement distincte renforce la résilience en cas de panne régionale.

Questions fréquentes

Quelle est la différence entre un tunnel site à site IPsec et un tunnel site à site GRE ?

IPsec authentifie et chiffre le trafic du tunnel ; GRE se contente de l'encapsuler, sans fournir de chiffrement propre. Certains types de pairs, comme AWS Transit Gateway et Zscaler, prennent en charge l'un ou l'autre de ces protocoles, et GRE est parfois associé à un tunnel IPsec distinct pour assurer un transport sécurisé.

Un tunnel site à site doit-il utiliser le routage statique ou le protocole BGP ?

Il est recommandé d'utiliser le BGP, associé au BFD, dès lors qu'il existe des tunnels redondants, car il détecte les chemins défaillants et effectue automatiquement un réacheminement, généralement en 15 à 18 secondes par défaut. Le routage statique fonctionne pour un tunnel unique, mais ne permet pas une bascule aussi fluide entre plusieurs chemins.

Quels types de pairs « Versa » prend-il en charge pour les tunnels de site à site ?

Le modèle « Workflows » de Director prend en charge AWS Transit Gateway, Azure Virtual WAN, Zscaler, un pair géré par Director (entre le Director du fournisseur et celui du client), ainsi qu’un type générique « Autres » pour les périphériques IPsec tiers tels que Cisco, Juniper ou Palo Alto. Concerto, quant à lui, organise les tunnels par IPsec, GRE, EoGRE ou Geneve.

Quelle est la différence entre un tunnel basé sur un itinéraire et un tunnel basé sur une politique ?

Un tunnel basé sur les routes laisse la table de routage (statique ou BGP) déterminer quel tunnel achemine le trafic. À l'inverse, un tunnel basé sur des règles compare le trafic à des règles explicites concernant la source, la destination et le port. La configuration basée sur des règles est requise pour certains pairs tiers hérités, tels que les anciens appareils Cisco ASA.

Pourquoi une passerelle VOS Cloud ne lance-t-elle jamais de tunnel de site à site ?

Les passerelles cloud VOS fonctionnent par défaut en mode passif IKE ; elles attendent donc que la succursale lance la négociation IPsec au lieu de l'initier elles-mêmes. La succursale VOS ne doit pas non plus être configurée en mode passif, sinon aucune des deux parties ne parviendra à établir le tunnel.

En savoir plus sur les tunnels de site à site

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux tunnels site à site, ces articles méritent d'être consultés ensuite.