VPN WatchGuard : Mobile VPN IKEv2, SSL et télétravail

La réponse courte : sur un pare-feu WatchGuard Firebox, le VPN des télétravailleurs s’appelle Mobile VPN, et il existe en quatre variantes. WatchGuard recommande Mobile VPN with IKEv2 comme choix par défaut, et Mobile VPN with SSL quand le réseau distant bloque le trafic IPsec. Les deux peuvent fonctionner en même temps sur le même boîtier, ce qui couvre la quasi-totalité des situations. Les variantes IPSec et L2TP restent disponibles pour des besoins précis, mais nous ne les déployons plus pour de nouveaux accès. Dans tous les cas, la connexion doit être protégée par un second facteur, idéalement AuthPoint.

Les principes généraux du VPN d’entreprise, l’accès site à site et le ZTNA sont expliqués dans VPN d’entreprise pour le télétravail : IPsec, SSL ou ZTNA. Ici, nous entrons dans le détail du Firebox, à partir de la documentation Fireware publiée par WatchGuard. Nous configurons ces accès en tant que partenaire WatchGuard au Maroc.

Les quatre types de Mobile VPN

Fireware, le système du Firebox, prend en charge quatre types de VPN pour les utilisateurs nomades.

Critère	IKEv2	SSL	IPSec	L2TP
Client	Natif sur Windows, macOS et iOS ; strongSwan sur Android	Client WatchGuard sur Windows et macOS ; OpenVPN ailleurs	Client WatchGuard pour Windows (licence payante) ; client natif sur Android et macOS	Client L2TPv2 natif ou compatible
Authentification	Base locale du Firebox, RADIUS, AuthPoint	Base locale, RADIUS, Active Directory, LDAP, SecurID, AuthPoint, SAML	Toutes les méthodes du Firebox avec le client WatchGuard	Base locale, RADIUS, AuthPoint
Ports	UDP 500 et 4500, ESP	TCP 443 par défaut, modifiable	UDP 500 et 4500, ESP	UDP 1701, plus UDP 500, 4500 et ESP avec IPsec
Gestion cloud	Oui	Oui	Non prévu	Non prévu
Notre usage	Par défaut	Repli et cas particuliers	Existant à migrer, profils par groupe	À éviter

Source : documentation Fireware de WatchGuard, page de sélection du type de Mobile VPN. Le nombre de tunnels simultanés dépend du modèle de Firebox ; il figure dans la clé de fonctionnalités du boîtier.

Pourquoi IKEv2 est le choix par défaut

WatchGuard présente Mobile VPN with IKEv2 comme l’option offrant la meilleure sécurité, les meilleures performances et le déploiement le plus simple. Trois raisons concrètes pour une PME :

• Aucun logiciel à déployer sur Windows, macOS et iOS : le client VPN du système suffit. Le Firebox fournit lui-même les profils de configuration à distribuer aux utilisateurs.
• Pas de licence client à acheter, contrairement au client IPSec de WatchGuard pour Windows.
• Un protocole moderne, qui n’est pas touché par la faiblesse du mode agressif d’IKEv1 (CVE-2002-1623) que la documentation de WatchGuard signale pour Mobile VPN with IPSec.

Deux contraintes à connaître. D’abord, IKEv2 n’accepte que la base locale du Firebox, RADIUS ou AuthPoint : pour des comptes Active Directory, WatchGuard recommande de passer par RADIUS, ou par AuthPoint. Ensuite, le tunnel partagé (split tunneling), qui n’envoie dans le VPN que le trafic destiné à l’entreprise, est disponible pour IKEv2 depuis Fireware v12.9 ; les versions antérieures envoient tout le trafic dans le tunnel. Sur un parc ancien, la mise à jour de Fireware fait donc partie du projet.

Quand ajouter Mobile VPN with SSL

IKEv2 utilise les ports UDP 500 et 4500 et le protocole ESP. Certains réseaux d’hôtel, de client ou d’opérateur les bloquent. Mobile VPN with SSL passe alors par TCP 443 par défaut, le port du web, presque toujours ouvert.

En contrepartie, WatchGuard indique que SSL est plus lent que les autres types de VPN et qu’il n’est pas le meilleur choix pour le trafic sensible à la latence, comme la voix sur IP, ni pour les gros transferts de fichiers. Sa sécurité est aussi jugée inférieure, faute de chiffrement multicouche. Notre pratique : IKEv2 pour tous, et un profil SSL activé pour les collaborateurs qui se déplacent souvent, comme solution de secours.

SSL a un avantage réel : il accepte le plus large choix de méthodes d’authentification, dont Active Directory et LDAP en direct, et SAML avec les clients récents. C’est utile quand on veut appuyer le VPN sur un fournisseur d’identité existant.

IPSec et L2TP : les cas particuliers

Mobile VPN with IPSec reste le seul type qui permet des profils de configuration différents selon les groupes d’utilisateurs. C’est sa seule vraie raison d’être aujourd’hui. Le client WatchGuard pour Windows, fourni par NCP, demande une licence payante. Si vous avez un parc existant en IPSec, nous planifions sa migration vers IKEv2, sauf besoin avéré de profils par groupe.

Mobile VPN with L2TP n’a d’intérêt que pour transporter d’autres protocoles qu’IP. Sans IPsec, WatchGuard le juge moins sûr et ne le recommande pas ; avec IPsec, les utilisateurs doivent configurer le client à la main.

WireGuard n’existe pas sur le Firebox : la documentation de WatchGuard le précise et oriente vers son service FireCloud Total Access.

Le second facteur avec AuthPoint

Les quatre types de Mobile VPN acceptent AuthPoint, la MFA de WatchGuard. Sur un Firebox enregistré dans WatchGuard Cloud, on déclare le boîtier comme ressource dans AuthPoint, puis on choisit AuthPoint comme serveur d’authentification dans la configuration du VPN. Sur un Firebox non connecté au cloud ou une version ancienne de Fireware, on passe par la AuthPoint Gateway en RADIUS, avec un serveur NPS de Windows pour les comptes Active Directory.

Deux réglages évitent les échecs de connexion :

• Le délai d’authentification d’AuthPoint est fixé à 60 secondes et ne se modifie pas ; le délai du VPN IKEv2 ne doit pas le dépasser.
• Avec MS-CHAPv2, utilisé pour les comptes Active Directory en IKEv2, l’utilisateur valide par notification push : la saisie d’un code OTP n’est pas prise en charge.

Nous détaillons la configuration d’AuthPoint, ses politiques et ses autres usages dans WatchGuard AuthPoint : la MFA pour PME, et la démarche générale dans déployer le MFA dans une PME.

Préparer les postes des utilisateurs

Un VPN bien configuré sur le Firebox peut échouer à cause d’un poste mal préparé. Pour IKEv2, le Firebox fournit un fichier à télécharger avec les instructions, des profils pour macOS et Android, et des scripts pour Windows. Ces profils configurent la connexion automatiquement. En configuration manuelle, il faut en plus installer sur l’appareil le certificat du Firebox : c’est l’oubli le plus fréquent quand un utilisateur configure seul son ordinateur personnel.

Pour SSL, le client WatchGuard pour Windows et macOS se télécharge depuis le site logiciel de WatchGuard ; sur iOS et Android, l’utilisateur installe un client OpenVPN depuis le magasin d’applications. Les systèmes compatibles sont listés dans les notes de version de Fireware, à vérifier avant de déployer une nouvelle version du client.

Notre méthode est simple : un guide d’installation d’une page par système, un premier test réalisé avec l’utilisateur, depuis une connexion 4G plutôt que depuis le réseau du bureau, et une vérification de l’accès à chaque ressource attendue. Les ordinateurs fournis par l’entreprise sont préparés avant remise, profil VPN et application AuthPoint compris.

Gestion locale ou WatchGuard Cloud : ce qui change pour le VPN

Un Firebox géré dans WatchGuard Cloud accepte Mobile VPN with IKEv2 et with SSL, éventuellement en même temps. IPSec et L2TP n’y sont pas prévus. Les clients SSL pour Windows et macOS se téléchargent depuis le site logiciel de WatchGuard ou depuis WatchGuard Cloud. Si votre accès distant repose encore sur IPSec, le passage à la gestion cloud impose donc une migration vers IKEv2 ou SSL : c’est un point à planifier avant tout changement, comme nous l’expliquons dans WatchGuard Cloud : gérer ses Firebox à distance.

Les réglages que nous appliquons

• IKEv2 activé par défaut, SSL en secours pour les profils nomades.
• AuthPoint obligatoire sur chaque connexion, administrateurs compris.
• Groupes d’utilisateurs distincts, avec des règles qui n’ouvrent que les ressources utiles à chacun : un comptable n’a pas besoin de voir les caméras.
• Tunnel partagé ou complet choisi selon la politique de sécurité, en connaissance de cause.
• Services de sécurité du Firebox appliqués au trafic VPN, comme au reste.
• Fireware à jour, et accès d’administration du Firebox jamais exposé sur internet.
• Journaux de connexion conservés et consultés, alertes sur les échecs répétés.

Le dimensionnement compte aussi : chaque tunnel consomme de la capacité, et un siège qui accueille beaucoup de télétravailleurs se choisit en conséquence, comme nous l’expliquons dans Firebox T125, T145, T185 ou M295 : quel modèle choisir.

Les erreurs que nous corrigeons

1. Un VPN sans second facteur, protégé par le seul mot de passe Windows de l’utilisateur.
2. Mobile VPN with IPSec ou L2TP conservé par habitude, avec des clients payants ou des réglages manuels sur chaque poste.
3. Tout le réseau ouvert aux utilisateurs VPN, au lieu des seuls serveurs utiles.
4. Un délai de connexion VPN plus long que celui d’AuthPoint, d’où des échecs inexpliqués.
5. SSL utilisé pour la téléphonie, avec des coupures et de l’écho.
6. Des comptes VPN jamais désactivés après le départ d’un collaborateur.

Checklist avant de déployer le VPN

• Liste des utilisateurs nomades, de leurs appareils et des ressources dont ils ont besoin.
• Type de VPN : IKEv2 par défaut, SSL en secours.
• Version de Fireware vérifiée, notamment pour le tunnel partagé en IKEv2.
• Source d’authentification : AuthPoint, RADIUS ou Active Directory.
• Règles par groupe, avec le minimum d’accès nécessaire.
• Capacité du Firebox vérifiée pour le nombre de tunnels simultanés.
• Mode de gestion du Firebox, local ou cloud, compatible avec le type de VPN choisi.
• Procédure d’arrivée et de départ des utilisateurs.

Comment nous procédons

Nous commençons par un audit initial offert de vos accès distants : qui se connecte, depuis quels appareils, vers quelles ressources. Nous configurons ensuite Mobile VPN with IKEv2 et, si besoin, SSL, raccordons AuthPoint, écrivons des règles par groupe, puis préparons un guide d’installation pour les utilisateurs. La bascule depuis un ancien VPN se fait par groupes, sans couper ceux qui travaillent. Une fois en service, le Firebox est supervisé 24/7, et un incident critique est pris en charge en moins de 15 minutes.

Le VPN fait partie de notre offre de cybersécurité au Maroc, et peut être intégré à un contrat d’infogérance au Maroc qui couvre aussi le support des télétravailleurs. Pour comparer avec l’approche de Fortinet, lisez FortiGate ou WatchGuard pour une PME. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.