VPN site à site : relier deux sites d’entreprise en toute sécurité.

Il y a quelques mois, une PME de négoce nous a montré son organisation entre le siège et l’entrepôt. Chaque soir, quelqu’un copiait les bons de livraison sur une clé USB et la déposait au bureau le lendemain matin. Un VPN site à site a remplacé la clé en une demi-journée, et plus personne n’y pense aujourd’hui.

Qu’est-ce qu’un VPN site à site ?

Un VPN site à site crée un tunnel chiffré permanent entre les réseaux de deux bâtiments, en passant par internet. Les postes du siège voient l’imprimante de l’entrepôt, le serveur de fichiers répond partout, et personne n’a de logiciel à lancer. Le tunnel tourne en tâche de fond, du matin au soir, et même la nuit.

Concrètement, le tunnel ne vaut que par l’équipement qui le porte et par la façon dont on le surveille. Une solution VPN professionnelle comprend le matériel, la configuration des deux côtés, la supervision du tunnel et quelqu’un qui décroche quand il tombe. C’est souvent ce dernier point qui manque.

Deux passerelles qui se parlent en permanence.

Tout repose sur deux équipements, un à chaque bout. Le plus souvent, c’est le pare-feu ou le routeur de chaque site. Ils s’authentifient l’un l’autre, négocient leurs clés de chiffrement, puis encapsulent chaque paquet destiné à l’autre site. Pour un utilisateur, ouvrir un dossier sur le serveur distant ressemble à ouvrir un dossier sur le serveur d’à côté. Un peu plus lent, parfois, mais transparent.

La différence avec le VPN des nomades.

Le VPN que lance un commercial depuis son hôtel, c’est l’inverse. Un seul poste se connecte au réseau de l’entreprise, à la demande, avec son identifiant. Les deux usages se complètent très bien, et notre article sur l’accès à distance des collaborateurs détaille ce second cas, avec ses règles de sécurité propres.

IPsec, WireGuard ou OpenVPN, quel protocole choisir ?

Trois protocoles dominent pour relier des sites. Le choix dépend surtout du matériel que vous avez déjà, et un peu de vos habitudes. Bon, je vous donne mon avis franchement, après des dizaines de tunnels montés chez des clients de toutes tailles.

IPsec, le standard qui parle à tout le monde.

IPsec reste la référence en entreprise. Tous les pare-feu du marché le gèrent, si bien qu’on relie un FortiGate au siège à un pfSense en agence sans difficulté. Configuré en IKEv2 avec un chiffrement AES 256 bits, il offre un excellent niveau de sécurité. Son défaut, des réglages nombreux qui doivent correspondre au caractère près des deux côtés.

WireGuard, le plus rapide et le plus simple.

WireGuard est arrivé plus récemment. Quelques lignes de configuration, un seul port, une reconnexion quasi instantanée après une coupure… et des débits souvent meilleurs qu’IPsec sur le même matériel. Mais tous les pare-feu professionnels ne le proposent pas encore nativement, ce qui limite son usage entre deux marques différentes.

OpenVPN, la solution de dépannage.

OpenVPN fonctionne partout, même derrière des réseaux capricieux, parce qu’il passe par un port classique. Il consomme en revanche plus de ressources et plafonne plus vite en débit. Pour un tunnel permanent entre deux sites, on le réserve aux cas où les deux autres coincent.

Les prérequis d’un VPN site à site.

Avant de parler configuration, trois éléments doivent être réunis sur chaque site. Ils paraissent évidents, et pourtant la moitié des projets qu’on reprend ont buté sur l’un d’eux. Allez, on les passe en revue.

Le débit montant, justement, c’est le point qu’on oublie. Quand l’entrepôt ouvre un fichier du siège, les données remontent par la connexion du siège. Le tunnel avance donc au rythme de l’envoi le plus lent des deux. Avec une box à 700 Mb/s en réception mais seulement 50 en envoi, le serveur partagé rame, et tout le monde accuse le VPN.

C’est là qu’une fibre pro à débit garanti change la donne. Elle fournit une adresse IP fixe, un débit identique dans les deux sens et un secours 4G qui garde le tunnel en vie pendant une coupure. Le VPN repart tout seul sur le lien de secours, puis revient sur la fibre dès qu’elle est rétablie.

Pour comprendre pourquoi l’envoi compte autant que la réception, notre article sur le débit symétrique compare les deux types d’accès, chiffres à l’appui. Il explique aussi comment mesurer ce que votre connexion actuelle envoie réellement aux heures chargées.

Relier deux sites, ou dix.

Avec deux sites, la question ne se pose pas, un tunnel suffit. Dès la troisième agence, il faut choisir une organisation, et ce choix pèse lourd le jour où vous en ouvrez une quatrième. Disons qu’il vaut mieux trancher tôt.

En étoile, avec le siège au centre.

Chaque agence monte un tunnel vers le siège, qui sert de carrefour. C’est la solution la plus courante et la plus simple à superviser. L’inconvénient, c’est que le trafic entre deux agences fait un détour par le siège, et que la connexion du siège devient le point sensible de tout le réseau.

En maillage, chaque site relié aux autres.

Chaque site dispose d’un tunnel direct vers chacun des autres. Le trafic prend le chemin le plus court, mais le nombre de tunnels grimpe vite, trois pour trois sites, dix pour cinq, quarante-cinq pour dix sites. Au-delà de cinq ou six sites, on regarde plutôt du côté du SD-WAN, qui automatise tout ça.

Ce dernier cas mérite une précision. Quand les agences partagent un standard installé au siège, la voix traverse le tunnel et doit passer avant les transferts de fichiers. Notre article sur la téléphonie multisite explique comment organiser les appels entre agences, et quand préférer un standard hébergé qui évite ce passage.

Les pièges classiques d’un VPN site à site.

Un tunnel qui monte, c’est facile. Un tunnel qui tient trois ans sans surprise, c’est une autre histoire. Voici les erreurs qu’on rencontre le plus souvent en reprenant des installations, presque toujours les mêmes d’ailleurs.

Deux sites avec la même plage d’adresses.

Le grand classique. Le siège et l’agence utilisent tous les deux la plage 192.168.1.x, celle des box par défaut. Le tunnel monte, mais aucun poste ne sait à quel site appartient une adresse. Il faut renuméroter un des deux réseaux avant tout, ce qui prend une matinée si on l’anticipe et une semaine de bricolage sinon.

Les paquets trop gros qui se perdent.

Le chiffrement ajoute quelques dizaines d’octets à chaque paquet. Sans réglage de la taille maximale des paquets, certains sont fragmentés ou perdus. Les symptômes sont trompeurs, un partage de fichiers qui se fige, un logiciel métier qui se déconnecte, alors que les pings passent parfaitement. Franchement, ça a coûté des heures à plus d’un informaticien.

Un pare-feu trop juste pour chiffrer.

Chaque pare-feu affiche un débit VPN maximal, souvent bien inférieur à son débit annoncé en première page. Un petit modèle peut plafonner à une centaine de mégabits chiffrés sur une fibre qui en délivre dix fois plus. Pour choisir le bon modèle, notre comparatif entre Fortinet et Palo Alto détaille ces chiffres.

Mettre en place un VPN site à site.

Sur un réseau propre, la mise en service d’un tunnel entre deux sites prend une demi-journée, essais compris. La préparation compte davantage que la configuration elle-même. On commence toujours par un relevé des deux réseaux, des adresses, des équipements et des flux qui doivent vraiment traverser le tunnel.

Le filtrage mérite aussi un mot. Un tunnel ouvert en grand entre deux sites propage un rançongiciel aussi vite qu’un fichier Excel. On n’autorise donc que les flux utiles, le serveur de fichiers, l’imprimante, le logiciel de gestion, et rien d’autre. C’est un peu plus long à régler, mais ça cloisonne vraiment les sites.

Chez Newlink, on installe ces tunnels pour des PME de deux à quinze sites, en Provence et partout en France, avec la connexion, le pare-feu et la supervision. Le jour où le tunnel tombe, c’est notre alerte qui sonne, pas votre téléphone. Et ça, nos clients l’apprécient vraiment !

Questions fréquentes.

À lire aussi.

CYBERSÉCURITÉPourquoi un VPN gratuit est un piège au bureau ?CYBERSÉCURITÉRisque informatique bancaire : comment sécuriser la continuité de service en agence ?CYBERSÉCURITÉLa directive NIS2, c’est quoi exactement ? Guide complet.CYBERSÉCURITÉGestionnaire de mot de passe pour les entreprise, lequel choisir ?