VPN

La configuration de stratégie VPN distribue des profils VPN de manière centralisée sur les appareils Windows gérés. Outre la connexion elle-même, la configuration couvre l’authentification, la résolution de noms, le split tunneling et les réglages de proxy. Windows Home, Pro, Enterprise et Education sont pris en charge à partir de la version 1607.

Le formulaire est divisé en sections Général, Apps, Paramètres DNS, Split tunneling et Configuration du proxy.

Général #

Authentification #

Selon le Type de VPN, le champ Type d’authentification propose les options suivantes. Lors d’un changement de type de VPN, le type d’authentification est réinitialisé.

Avec le type de VPN L2TP, une clé pré-partagée ou un certificat d’identité (certificat, modèle de certificat ou certificat utilisateur) est requis. Si les deux manquent, la configuration n’est pas enregistrée.

EAP XML #

EAP n’est pas configuré à l’aide de champs individuels, mais sous forme de configuration XML dans le champ de texte EAP XML. Au-dessus du champ, le portail renvoie à la documentation Microsoft sur la structure de cette configuration : Configuration EAP →.

Le champ est disponible pour toutes les combinaisons, sauf IKEv2 avec Certificats d’ordinateur. Le XML n’est transmis à l’appareil qu’avec le type d’authentification EAP ; avec Aucun et Clé pré-partagée, il est ignoré.

À partir de Relution 26.5.5, le XML ne doit pas contenir de déclaration DOCTYPE (<!DOCTYPE …>). Une telle configuration peut certes être enregistrée, mais le profil VPN ne peut alors pas être transmis à l’appareil. Les configurations EAP conformes au modèle Microsoft ne contiennent pas de déclaration DOCTYPE et ne sont pas concernées. Si une configuration existante contient une telle déclaration, celle-ci doit être supprimée du XML.

Certificat d’identité #

Sauf avec le type d’authentification Clé pré-partagée, le bloc Certificat d’identité définit le certificat utilisé pour la connexion :

• Utiliser un certificat utilisateur : utilise le certificat utilisateur. Le champ facultatif Nom du certificat sélectionne un certificat précis par son nom lorsque l’utilisateur possède plusieurs certificats de ce type ; le nom peut contenir des espaces réservés. Si le champ reste vide, le certificat ayant la plus longue durée de validité est utilisé. Un utilisateur disposant d’un certificat utilisateur doit être attribué à l’appareil.
• Sélectionner un certificat : sélection d’un certificat ou d’un modèle de certificat dans la gestion des certificats.

Le certificat n’est installé sur l’appareil avec le profil VPN qu’avec le type d’authentification EAP.

Paramètres IKEv2 #

Avec le type de VPN IKEv2, les paramètres cryptographiques peuvent également être définis. La valeur par défaut de tous les champs est Non configuré.

• Paramètres IKE SA : Algorithme de chiffrement, Algorithme d’intégrité et Groupe Diffie-Hellman
• Paramètres SA enfant : Algorithme de chiffrement, Algorithme d’intégrité et Groupe Diffie-Hellman (groupe PFS, avec en plus l’option Utiliser le groupe Diffie-Hellman parent)

Soit les six valeurs sont définies, soit aucune ; une saisie partielle n’est pas enregistrée.

Apps #

Paramètres DNS #

Le champ DNS suffix reçoit les suffixes DNS ajoutés à la liste de recherche DNS afin que les noms courts soient correctement résolus. Le premier suffixe de la liste est également utilisé comme suffixe DNS principal spécifique à la connexion de l’interface VPN.

Les Règles de la table de politique de résolution des noms (NRPT) définissent la manière dont les noms DNS sont résolus lorsqu’une connexion VPN est établie. Chaque règle indique un domaine et les serveurs DNS ou le serveur proxy web à utiliser pour résoudre ce domaine. Ajouter crée une règle avec les champs suivants :

Split tunneling #

Le split tunneling est activé à l’aide de l’interrupteur Split tunneling. Ce n’est qu’alors que les entrées de la liste Routes de split tunneling pour cette connexion VPN sont transmises à l’appareil, et seul le trafic vers ces destinations passe par le VPN.

Chaque route est ajoutée via Ajouter sous forme de Préfixe de destination en notation CIDR, c’est-à-dire une adresse IPv4 ou IPv6 avec longueur de préfixe (par ex. 10.22.0.0/16). La longueur de préfixe (masque de sous-réseau) doit être supérieure à 0.

Configuration du proxy #

Le champ Type de proxy détermine les champs supplémentaires affichés :

Sujets connexes #

• Certificats → — fournir des certificats d’identité et de confiance.
• Wi-Fi → — profils réseau pour les appareils Windows.