Un bureau d'études de Ferney-Voltaire nous contacte parce que ses deux conducteurs de travaux n'arrivent plus à ouvrir les plans depuis le chantier. Nous découvrons la mécanique en place : le serveur de fichiers est joignable depuis Internet par le service de bureau à distance, tout le monde utilise le même identifiant, et le mot de passe circule par message. Le service avait fini par refuser les nouvelles connexions, saturé par des tentatives d'authentification venues de l'extérieur. Personne n'avait visé l'entreprise en particulier : son adresse publique figurait simplement dans les listes de machines exposées.
Un VPN d'entreprise résout ce problème autrement. Il crée un tunnel chiffré entre l'appareil du salarié et le réseau de l'entreprise, si bien que le portable travaille comme s'il était branché dans les locaux, sans qu'aucun service interne n'ait besoin d'être visible depuis Internet. Nous posons ce type d'accès dans le cadre de l'audit de cybersécurité, avec un contrat d'infogérance à partir de 120 HT / mois.
Ce qu'un tunnel chiffré change par rapport à un service publié sur Internet
La différence porte sur l'ordre des opérations. Quand un service est publié directement, n'importe quel visiteur atteint l'écran d'authentification du serveur et peut essayer des identifiants aussi longtemps qu'il le souhaite. La sécurité de votre serveur repose alors entièrement sur la qualité des mots de passe de vos salariés.
Avec un tunnel, la première barrière est franchie avant même que le réseau interne existe pour l'appelant. L'équipement de bordure vérifie l'identité et la validité du certificat ou de la clé, ouvre le tunnel, et c'est seulement ensuite que le poste reçoit une adresse interne et peut atteindre les ressources autorisées. Un appareil qui ne présente pas les bons éléments ne voit rien du tout : ni le serveur, ni le NAS, ni le logiciel métier. Les applications internes continuent par ailleurs de fonctionner comme au bureau, avec les mêmes lecteurs réseau et les mêmes imprimantes, sans manipulation particulière à expliquer aux utilisateurs.
Deux confusions méritent d'être levées. Un abonnement VPN grand public, de ceux qui servent à changer de pays sur une plateforme de vidéo, n'a aucun rapport avec ce dont nous parlons : il vous relie au réseau d'un fournisseur, pas au vôtre. Et un VPN n'est pas un outil de prise en main à distance : lorsque nous vous dépannons, nous ouvrons une session d'assistance visible et temporaire, mécanisme décrit dans notre article sur la prise en main à distance.
Pourquoi nous fermons systématiquement le bureau à distance publié
Le service de bureau à distance de Windows est un bon outil dans un réseau interne. Publié sur une adresse publique, il pose trois problèmes que nous rencontrons chez presque tous les clients qui arrivent avec cette configuration.
- Il est trouvé sans que personne ne vous cible : des balayages automatiques parcourent en permanence les adresses publiques et recensent les services qui répondent. Votre serveur reçoit donc des tentatives d'authentification en continu, ce qui finit par gêner les utilisateurs légitimes.
- Il transforme un compte unique en clé de l'entreprise. Un identifiant partagé qui circule par message ne s'attribue à personne et ne se révoque pas sans perturber tout le monde.
- Il laisse le serveur exposé aux vulnérabilités du service lui-même, et le délai entre la publication d'un correctif et son application chez vous devient une fenêtre de risque que rien ne compense.
Nous développons cette analyse dans notre article dédié au bureau à distance ouvert sur Internet. La consigne est simple : la redirection est supprimée sur l'équipement de bordure, l'accès distant passe par le tunnel, et le bureau à distance reste utilisable une fois à l'intérieur.
Le tunnel ne doit pas déboucher sur l'intégralité du réseau
Voici l'erreur la plus fréquente après la mise en place, et elle est discrète parce que tout fonctionne. Le tunnel est configuré, les salariés se connectent, et chaque appareil distant obtient un accès complet au réseau interne, exactement comme un poste branché dans la baie.
Cette facilité annule une partie du bénéfice. Le portable qui se connecte depuis un domicile partage souvent son réseau local avec des équipements que vous ne maîtrisez pas, et le téléphone d'un intérimaire n'a aucune raison d'atteindre le serveur de la comptabilité. Nous appliquons donc au tunnel la même logique de séparation qu'au réseau physique : le VPN débouche sur une zone dédiée, et le pare-feu décide ce que cette zone atteint. Le conducteur de travaux accède aux plans et au logiciel de gestion, le comptable externe au serveur applicatif et à rien d'autre, l'administrateur dispose d'un profil distinct qu'il n'utilise qu'au besoin. Ce découpage prolonge celui du réseau local, décrit dans notre article sur la box opérateur et le pare-feu d'entreprise.
La question du routage complet ou partiel se pose dans le même mouvement. Faire passer tout le trafic du poste par le tunnel permet d'appliquer votre filtrage et votre journalisation à la navigation du salarié, au prix d'un peu de latence et d'une dépendance à votre lien. Ne router que les destinations internes préserve la bande passante, mais laisse la navigation hors de votre visibilité. Nous tranchons selon le métier, puis nous écrivons ce choix dans la documentation.
Les cinq défauts qui rendent un VPN d'entreprise inefficace
Un tunnel mal exploité donne un sentiment de sécurité sans en apporter le bénéfice. Les défauts que nous corrigeons le plus souvent tiennent tous à l'exploitation, pas au protocole.
- Un compte de service unique est partagé entre tous les salariés, ce qui rend les journaux illisibles et empêche de couper l'accès d'une seule personne.
- Aucune double authentification ne protège la connexion, si bien qu'un identifiant récupéré par hameçonnage suffit à entrer sur le réseau. Nous expliquons pourquoi ce facteur supplémentaire compte dans notre article sur la double authentification.
- Un ancien concentrateur reste en service en parallèle du nouveau, sans mise à jour depuis des années, parce que deux ou trois postes l'utilisent encore et que personne n'a osé l'éteindre.
- Le profil de connexion demeure actif sur un téléphone personnel ou sur un portable rendu, longtemps après le départ de la personne. C'est l'un des points que nous vérifions systématiquement, comme détaillé dans notre article sur la révocation des accès le jour du départ.
- Le certificat du concentrateur expire sans que personne ne le surveille, et le lundi matin plus aucun salarié n'arrive à se connecter.
Sur le choix technique, plusieurs protocoles conviennent. WireGuard offre une configuration compacte et de bonnes performances sur les liens modestes. IPsec reste la référence pour relier deux sites entre eux et pour les équipements qui ne savent rien faire d'autre. Le concentrateur intégré au pare-feu que vous possédez déjà constitue souvent le meilleur compromis, puisqu'il évite un équipement de plus à administrer. L'essentiel se situe ailleurs : qui s'authentifie, avec quel second facteur, vers quelles ressources, et qui relit les journaux.
Notre méthode pour ouvrir un accès distant en une intervention
Nous partons d'un entretien avec le dirigeant et deux ou trois utilisateurs concernés, pour établir qui a besoin de quelle ressource en dehors du bureau. Cette liste est plus courte qu'annoncé, et elle détermine directement les règles à écrire.
Nous posons ensuite le concentrateur sur l'équipement de bordure, nous créons des comptes nominatifs avec double authentification, nous définissons les zones accessibles, puis nous testons depuis une connexion mobile extérieure au bâtiment, ce qui est le seul test valable. Nous supprimons dans la même séance les publications devenues inutiles, en particulier le bureau à distance. Nous remettons enfin une notice d'une page pour les utilisateurs et une fiche technique pour le dossier d'exploitation.
La pose se fait sur site, dans le Bassin Genevois, parce qu'elle touche à l'équipement de bordure et au câblage. Le suivi s'effectue ensuite à distance dans le contrat d'infogérance dès 120 HT / mois, qui couvre la gestion des comptes, les mises à jour du concentrateur et le renouvellement des certificats. Une intervention en urgence hors contrat se facture 230 HT / h, pour un même montant hors taxes en euros et en francs.
Si vos salariés passent encore par un bureau à distance publié sur Internet parce que cette solution paraît plus simple, la fermeture de cette porte s'organise en une demi-journée et se voit à peine côté utilisateur. Décrivez-nous votre configuration actuelle et nous vous indiquerons ce qui peut être fermé dès la première intervention.