Les VPN SSL simplifient la sécurité des utilisateurs distants

Pour apprécier la manière dont les VPN SSL fonctionnent, intéressons- nous d’abord à IPSec. Les connexions IPSec peuvent aller de réseau à réseau ou d’utilisateur à réseau. Le but d’IPSec est clair : faire en sorte qu’un réseau distant ou ordinateur hôte semble être connecté directement à votre réseau privé derrière le pare-feu d’entreprise.

Pour cela, IPSec crée une interface réseau virtuelle, soit sur une passerelle (qui peut être un pare-feu ou un routeur), soit directement à l’intérieur de l’ordinateur d’un utilisateur final. Cette interface virtuelle a l’apparence et le comportement d’un adaptateur de réseau LAN ou WAN. En fait, la plupart des VPN IPSec ressemble à des cartes Ethernet, avec leur propre adresse IP et leurs entrées de table de routage. Une fois le tunnel IPSec établi, les utilisateurs à une extrémité du tunnel peuvent accéder librement à toutes les ressources du réseau à l’autre extrémité, comme l’illustre la figure 1. Les VPN SSL diffèrent de la variété IPSec de deux manières principales : les VPN SSL ne sont que des connexions de l’utilisateur au réseau et les VPN SSL ne créent pas une interface réseau virtuelle, de sorte que l’accès ne se fait que dans un sens et sous contrôle étroit. Il s’en suit que l’utilisateur distant n’a qu’un accès limité aux ressources du réseau hôte et ce dernier n’a pas d’accès réciproque à l’utilisateur (figure 2).
Il s’en suit également que IPSec reste le roi du monde VPN de réseau à réseau.
L’utilisateur distant amorce une connexion VPN SSL en pointant son navigateur Web sur une passerelle VPN SSL : ce peut être une appliance dédiée ou un serveur animé par le logiciel VPN SSL. La connexion est cryptée par le protocole SSL/TLS, apprécié de nous tous, et elle peut donc tirer parti des divers mécanismes d’authentification reconnus par SSL. Le VPN SSL peut aussi authentifier les utilisateurs via votre infrastructure de répertoires existante, que ce soit Active Directory de Microsoft ou le standard LDAP (Lightweight Directory Access Protocol) ouvert. Pratiquement, cela signifie un mot de passe de moins à mémoriser pour vos utilisateurs et un point d’entrée de moins à suivre pour la maintenance add/drop.
Dès qu’un utilisateur a établi la session du navigateur VPN SSL, la passerelle VPN SSL joue le rôle de proxy pour le trafic HTTP et HTTP Secure (HTTPS) dans votre réseau d’entreprise. Si vous êtes habitués au SSL serveur Web traditionnel, vous serez surpris par la puissance de l’accès Web VPN SSL. Au lieu de connecter simplement les utilisateurs à un serveur Web de type SSL unique, une passerelle VPN SSL peut diriger les utilisateurs vers n’importe laquelle de vos applications intranet validées pour le Web, même si ces applications ellesmêmes ne sont pas validées pour SSL. Cet accès à distance sera largement suffisant pour de nombreux utilisateurs.
Si un VPN SSL ne fournissait que cela, ce serait déjà appréciable. Mais il va plus loin. Contrairement aux VPN IPSec de base, qui balancent les utilisateurs au milieu du LAN d’entreprise avec peu ou pas de restrictions, une passerelle VPN SSL vous permet de contrôler précisément les serveurs internes accessibles à chaque utilisateur.
Certaines passerelles vous permettent même de contrôler l’accès jusqu’au niveau de l’URL, limitant ainsi les parties d’une application accessibles aux utilisateurs distants. Les VPN IPSec, quel que soit leur prix, ne peuvent offrir un tel degré de contrôle.
Et si vos utilisateurs ne se contentent pas de l’accès Web à votre LAN ? Dans ce cas, vous pouvez appliquer d’autres protocoles au moyen du VPN SSL via une applet de connexion « IPSec virtuelle » spécifique au produit. Ces applets se connectent dans le système d’exploitation de l’utilisateur de la même manière qu’IPSec, en créant une interface réseau virtuelle. Mais, contrairement à IPSec, ces applets ne demandent pas de configuration complexe, parce qu’aucun choix d’options n’est proposé à l’utilisateur. C’est l’administrateur de la passerelle VPN SSL qui fait tous les choix quand il définit les diverses stratégies d’accès aux passerelles. Ainsi, vous pourriez laisser Simon accéder par FTP au serveur du département finances, donner à Alice la possibilité d’envoyer du courriel SMTP, et empêcher Fred d’accomplir l’une de ces actions ou les deux.
Ces fonctions VPN SSL avancées sont toutes propriétaires, mais comme les utilisateurs n’ont pas à installer de logiciel, il n’y a aucun souci de compatibilité. Il faut bien sûr que le fournisseur gère les systèmes d’exploitation poste de travail de vos utilisateurs. Tous les produits ne supportent pas tous les systèmes d’exploitation, mais ils supportent tous Windows et Internet Explorer qui, on ne s’en étonnera pas, constituent l’essentiel de la demande VPN SSL.
Au-delà de la prise en charge du système d’exploitation, il faut néanmoins connaître les principales catégories auxquelles appartiennent les produits VPN SSL : simple, hybride, multifonction et hybride multifonction.