Français
Menu

Qu'est-ce que VPN (réseau privé virtuel) ?

Mécanisme qui construit, sur un réseau partagé comme Internet, un canal privé virtuel chiffré (un tunnel), afin que des sites éloignés et des appareils extérieurs communiquent comme s'ils étaient directement reliés au réseau interne. Parmi les méthodes figurent IPsec, TLS (SSL-VPN) et WireGuard.

Nom japonais: VPN

« VPN (réseau privé virtuel) » apparaît dans 7 questions d'entraînement réparties sur 4 thèmes, dont Cyberattaques et défense en pratique, Bases des réseaux informatiques, Conception et exploitation des réseaux.

Domaine: Bases des réseaux informatiques

Tunnels et encapsulation

Un équipement ou un logiciel VPN chiffre l'ensemble du paquet IP à envoyer, y ajoute un code de détection des altérations et envoie le résultat comme charge utile d'un nouveau paquet IP adressé entre les deux extrémités du VPN (encapsulation). L'extrémité réceptrice l'extrait, le déchiffre et transmet le paquet d'origine au réseau interne. L'Internet situé entre les deux ne voit ni le contenu ni les adresses d'origine, et les adresses privées internes peuvent être utilisées telles quelles. Comme les en-têtes supplémentaires laissent moins de place au paquet intérieur, il faut parfois ajuster la MTU.

VPN de site à site et VPN d'accès distant

Un VPN de site à site place un équipement VPN sur chaque site, comme le siège et les agences, et relie leurs LAN ; les utilisateurs ne s'en aperçoivent pas. Un VPN d'accès distant permet à un PC à domicile ou en déplacement de se connecter à l'équipement VPN de l'entreprise au moyen d'un logiciel client. Parmi les méthodes figurent IPsec, qui chiffre au niveau de la couche réseau et échange les clés avec IKE ; le SSL-VPN, qui utilise TLS ; et le plus récent WireGuard, qui fonctionne sur UDP. Certains VPN ne passent pas du tout par Internet, comme les services IP-VPN qui empruntent le réseau fermé d'un opérateur.

Ce que protège un VPN, et ses limites

Un VPN protège le trafic entre l'appareil et l'extrémité du VPN : même sur des réseaux faciles à écouter, comme les LAN sans fil publics, le contenu de ce tronçon ne peut pas être lu. Le trafic au-delà de l'extrémité est un trafic ordinaire, et un VPN n'est d'aucun secours si l'appareil lui-même est infecté par un logiciel malveillant. Comme les équipements VPN sont exposés à Internet, leurs vulnérabilités peuvent servir de porte d'entrée : des mises à jour rapides et l'authentification multifacteur sont donc indispensables. La faiblesse de l'idée selon laquelle un utilisateur connecté peut atteindre tout l'intérieur a aussi favorisé l'approche zero trust, qui vérifie chaque accès.

S'entraîner : questions sur VPN (réseau privé virtuel)

Quelle description d'un VPN sur Internet est correcte ?

  1. AIl fait passer la communication par une ligne physique dédiée afin que le trafic ne traverse pas Internet
  2. BAvec un VPN, on peut communiquer en toute sécurité même si le serveur ou le terminal auquel on se connecte est infecté par un logiciel malveillant
  3. CIl crée sur Internet un canal privé virtuel (tunnel) avec chiffrement et authentification, de sorte que des sites distants ou des terminaux à domicile sont traités comme s'ils étaient connectés au réseau interne
Afficher la réponse et l'explication

Réponse : C. Il crée sur Internet un canal privé virtuel (tunnel) avec chiffrement et authentification, de sorte que des sites distants ou des terminaux à domicile sont traités comme s'ils étaient connectés au réseau interne

Dans un VPN (réseau privé virtuel), les paquets d'origine sont chiffrés et placés dans d'autres paquets (encapsulés), puis extraits par l'équipement VPN de l'autre côté. Le contenu et les adresses internes ne sont pas visibles en chemin, et les falsifications peuvent être détectées. Parmi les protocoles utilisés figurent IPsec, des solutions fondées sur TLS et WireGuard. Physiquement, il se distingue d'une ligne louée par le fait qu'il passe par l'Internet partagé. Seul le tronçon du tunnel est protégé ; la sécurité de la destination elle-même et celle du trafic au-delà de la sortie du VPN doivent donc être considérées séparément.

Un hôte communique avec un serveur web lointain à travers un tunnel VPN site à site. Les connexions TCP s'établissent et les petites pages s'affichent, mais les téléchargements de gros fichiers se bloquent en cours de route. La MTU dans le tunnel est de 1400 octets, et le serveur envoie des paquets de 1500 octets dont la fragmentation est interdite (bit DF à 1). Le pare-feu placé devant le serveur est en outre configuré pour détruire tout l'ICMP. Quelle est la cause la plus probable ?

  1. ALa résolution de noms DNS échoue
  2. BLa fenêtre de réception TCP est trop petite, si bien qu'on ne peut pas envoyer assez de données à la fois
  3. CLes messages ICMP indiquant qu'une fragmentation est nécessaire, envoyés par le routeur qui détruit les paquets trop grands, n'atteignent pas le serveur, qui ne peut donc pas réduire la taille de ses paquets
Afficher la réponse et l'explication

Réponse : C. Les messages ICMP indiquant qu'une fragmentation est nécessaire, envoyés par le routeur qui détruit les paquets trop grands, n'atteignent pas le serveur, qui ne peut donc pas réduire la taille de ses paquets

Dans la découverte de la MTU du chemin, la source envoie les paquets avec le bit DF à 1, et un routeur qui détruit un paquet plus grand que sa MTU indique dans un message ICMP (Fragmentation Needed en IPv4, Packet Too Big en IPv6) la taille qui peut passer. Si le pare-feu détruit ces messages, le serveur continue d'envoyer de gros paquets qui sont détruits à chaque fois, si bien que seuls les gros transferts de données se bloquent (trou noir de la MTU du chemin). L'établissement de la connexion et les petites réponses utilisent des paquets de moins de 1400 octets, et passent donc sans problème. Les remèdes consistent à ne plus détruire ces messages ICMP, ou à faire réécrire le MSS de TCP à une valeur plus petite par le routeur situé à l'entrée du tunnel. En comptant 20 octets chacun pour les en-têtes IPv4 et TCP, une MTU de 1400 octets appelle un MSS de 1400 − 20 − 20 = 1360 octets.

Questions fréquentes

Un VPN rend-il anonyme ?

Pas complètement. Les sites web voient l'adresse de sortie du VPN au lieu de celle de l'utilisateur, mais l'exploitant du VPN peut voir avec qui l'utilisateur communique. Les connexions à des comptes et les cookies peuvent toujours identifier l'utilisateur.

Quelle est la différence entre IPsec et le SSL-VPN ?

IPsec chiffre les paquets IP eux-mêmes au niveau de la couche réseau : il peut donc transporter le trafic de n'importe quelle application et sert souvent aux VPN de site à site. Le SSL-VPN utilise TLS : il est donc facile à utiliser depuis un navigateur web ou un logiciel dédié et traverse facilement les pare-feux, ce qui le rend courant pour l'accès distant.

« VPN (réseau privé virtuel) » dans les explications

Questions mentionnant « VPN (réseau privé virtuel) » (7)

  1. Quelle description d'un VPN sur Internet est correcte ?
  2. Un hôte communique avec un serveur web lointain à travers un tunnel VPN site à site. Les connexions TCP s'établissent et les petites pages s'affichent, mais les téléchargements de gros fichiers se bloquent en cours de route. La MTU dans le tunnel est de 1400 octets, et le serveur envoie des paquets de 1500 octets dont la fragmentation est interdite (bit DF à 1). Le pare-feu placé devant le serveur est en outre configuré pour détruire tout l'ICMP. Quelle est la cause la plus probable ?
  3. Quelle comparaison entre un VPN d'accès à distance traditionnel et le ZTNA (accès réseau zéro confiance), comme moyens pour des employés en télétravail d'utiliser les systèmes internes, est correcte ?
  4. Quelle description d'un CDN (réseau de diffusion de contenu) est correcte ?
  5. Quelle description de la fonction de base d'un pare-feu (à filtrage de paquets) est correcte ?
  6. Parmi les propositions suivantes, laquelle est une méthode d'« accès initial », par laquelle un attaquant pénètre pour la première fois dans le réseau d'une organisation ?
  7. La même semaine, des correctifs ont été publiés pour trois vulnérabilités. L'équipe d'exploitation ne peut appliquer qu'un correctif par jour. Quelle association entre le correctif à appliquer en premier et la raison est la plus appropriée ?

Termes associés

Paquet (packet) TLS (Transport Layer Security) Pare-feu TCP (Transmission Control Protocol) MTU (unité de transmission maximale) ICMP (Internet Control Message Protocol) Découverte de la MTU du chemin (PMTUD) Routeur IPv4 IPv6

Retour au glossaire