De multiples façons de sécuriser ses liaisons intersites

Les 4 entreprises étudiées

Activité : location d'engins d'élévation.
Siège : Tonneins (47).
CA 2007 : 57 M d'euros.
Effectifs : 420 personnes.

Problème à résoudre : garantir la continuité du réseau entre le siège et les agences.

Solution déployée : le VPN principal d'Orange (75 000 euros par an pour 36 sites) est doublé par un VPN de secours de My Stream (27 000 euros par an pour la supervision et le SAV).

Activité : laboratoire pharmaceutique vétérinaire.
Siège : Libourne (33).
CA 2007 : 340 M d'euros.
Effectifs : 2 100 personnes, dont 67 % hors de France.

Problème à résoudre : protéger les applications sans s'en remettre à la seule défense périmétrique.

Solution déployée : faire l'impasse sur la protection du réseau et utiliser l'internet classique, mais protéger les serveurs par une gestion forte des identités et le recours au protocole HTTPS.

Activité : collectivité territoriale.
Siège : Châlons-en-Champagne (51).
Budget 2007 : 691 M d'euros.
Effectifs : 1 200 personnes.

Problème à résoudre : permettre aux 44 élus et aux travailleurs sociaux d'accéder au SI de chez eux.

Solution déployée : passerelle Aventail EX-1500 avec licence pour 200 utilisateurs simultanés a (coût d'une passerelle EX-1600 qui succédé à la 1500 : 6 000 euros HT).

Activité : agroalimentaire (volaille).
Siège : Sablé-sur-Sarthe (72).
CA 2007 : 1,8 M d'euros.
Effectifs : 12 000 personnes.

Problème à résoudre : supprimer toute interruption de service du réseau.

Solution déployée : un réseau de base chez Orange et un réseau d'appoint fourni par Alphalink, avec recherche systématique de chemins de raccordement distincts.

Les tunnels VPN sécurisent les réseaux étendus

Moins chers que des liaisons louées, les liens DSL sont aussi moins fiables. C'est pourquoi il est souvent plus sage de doubler les raccordements. On peut demander à l'opérateur un second lien empruntant un chemin physique différent du premier. L'idéal est de choisir un second opérateur ayant son propre réseau et de créer un second VPN. Facile dans les villes, plus aléatoire dans les zones rurales.

L'arrivée des technologies XDSL a donné un coup de fouet au VPN, car elles proposent des débits de plusieurs Mbit/s à des prix jusqu'à dix fois inférieurs à ceux des liaisons louées. Le SDSL (DSL symétrique) est d'ailleurs largement retenu par les entreprises. La couverture est très large, couvrant toutes les villes et des zones industrielles.

Que ce soient en IPsec ou en SSL, l'infrastructure VPN est très sécurisée. Elle constitue comme un ' tunnel ' dans les réseaux publics. D'où l'utilisation de plus en plus fréquente d'internet comme réseau de transport, avec les aléas de qualité de service que cela suppose. L'entreprise peut demander à son fournisseur d'accès de ' monter ' les VPN ou se doter elle-même de passerelles VPN pour organiser son propre réseau.

L'illusion est grande de penser que, grâce à un VPN, la sécurité est absolue. Dans cette architecture, les points faibles sont généralement les sites distants, moins bien défendus que le site principal. Les attaques peuvent les viser et, une fois dans la place, remonter jusqu'au site principal. Le VPN SSL offre toutefois une meilleure garantie que le VPN IPsec, car il y a terminaison de la session dans la passerelle SSL. Et il faut à nouveau montrer patte blanche pour aller plus loin.

Fabien Baudot (Acces Industrie) : ' superviser les deux VPN de manière centralisée '

' Notre double VPN IPsec constitue le cordon ombilical qui relie les sites du groupe Acces Industrie au siège, où sont hébergés les outils métiers pour la plupart ' webisés '. C'est pourquoi la surveillance des réseaux est capitale. En complément des systèmes de supervision des prestataires Orange et My Stream, les deux VPN sont supervisés de manière centralisée par la DSI à travers l'outil Centreon, ce qui nous garantit une grande réactivité en termes de détection, de diagnostic et d'évaluation autonome de la qualité de service. Il permet de surveiller le basculement automatique vers le VPN de secours en cas de défaillance du VPN principal et le retour à la situation normale après le rétablissement du lien. Ce réseau de secours nous permettra de faire transiter ponctuellement des flux vidéo sans surcharger le réseau principal. '

François Tricot (Ceva santé animale) : ' pas besoin de routes fortifiées '

' Un VPN me fait penser à un château fort, assimilable au site central d'une entreprise, entouré de villages fortifiés, les filiales et les agences. Les chemins qui les relient sont très bien gardés. Admettons que le château fort soit imprenable et que les villages alentour soient moins sûrs. Si quelqu'un parvient à se glisser dans l'un d'entre eux, il peut aller où il veut et accéder aux applications sans défense. Mon plan est de supprimer ces chemins fortifiés et d'emprunter les chemins publics pour circuler. Par contre, les serveurs abritant les applications seront entourés de barrières infranchissables. En termes informatiques, cela signifie : Internet comme réseau de transport, une forte gestion des identités et des communications entre les filiales en HTTPS, c'est-à-dire en HTPP avec SSL pour crypter les données. '

Franck Lefevre (Conseil général de la Marne) : ' pas d'ouverture généralisée vers l'extérieur '

' Nous pourrions ouvrir notre VPN aux prestataires extérieurs ou aux autres collectivités locales de la Marne, car la licence d'exploitation de la passerelle Aventail porte sur 200 accès simultanés et nous n'avons environ que 150 utilisateurs réguliers. Nous ne l'avons pas fait pour ne pas perdre le contrôle. C'est très lourd de gérer en permanence les droits d'accès des uns et des autres, surtout avec les nombreux changements parmi les utilisateurs extérieurs. Nous avons fait deux exceptions pour les enteprises qui travaillent avec nous. La première concerne les contrats de maintenance. Les enteprises peuvent intervenir pour les opérations d'exploitation classique. La seconde porte sur les projets. Nous offrons des accès limités, par exemple à des serveurs SharePoint, pour un temps limité. '

Stéphane Plumas et Michel Emeraud (Groupe LDC) : ' diversifier les chemins de raccordement '

' Nous avons opté pour deux opérateurs différents, l'un pour le réseau principal, l'autre pour le réseau d'appoint, ce qui, en prime, est plus économique. En effet, deux liens à 1 Mbit/s chez deux opérateurs reviennent 20 % moins cher qu'un seul à 2 Mbit/s chez un seul. Nous cherchons également à diversifier les chemins physiques partout où il existe un autre réseau de distribution que France Télécom. De plus, nous gardons nos abonnements RNIS, au cas où les deux réseaux seraient indisponibles. L'activité serait alors réduite mais ne cesserait pas, ce qui est pour nous vital. Ces précautions se justifient. Le rétablissement en quatre heures, nous n'y croyons pas. Et même si cela se faisait en deux heures, une interruption serait catastrophique. C'est pourquoi nous prenons tant de précautions. '

L'avis de l'intégrateur : Damien Gabard, directeur technique d'Interdata

' Les VPN IPsec en panne de développement '

' Les VPN SSL offrent plus de fonctions que les VPN IPsec. Ces derniers sont un peu ' en panne de développement ', alors que les premiers ont le vent en poupe. Ces solutions offrent, à la connexion de l'utilisateur, un portail d'accueil où celui-ci trouve la liste des applications et des fichiers auxquels il a accès, soit en lecture seule, soit en lecture-écriture. On peut gérer très finement les droits, chose plus difficile à réaliser en IPsec, qui n'est qu'un tuyau sécurisé. '

' Un outil dans les plans de reprise et de continuité d'activité '

' De plus en plus, sous les pressions réglementaire et concurrentielle, les entreprises élaborent des plans de reprise et de continuité d'activité. Les VPN SSL permettent aux employés de poursuivre tant bien que mal leur travail de nimporte où. La passerelle doit être programmée pour gérer ces accès en cas de crise. Cela peut éviter de louer des salles de repli pour les accueillir ou de limiter le nombre de places. '