VPN : des alternatives sûres

Les réseaux privés virtuels (VPN) sont aujourd’hui présents dans les entreprises de toutes tailles, et plus seulement dans les grands comptes. Leur principal mérite est de permettre aux utilisateurs – généralement des travailleurs nomades et des télétravailleurs – d’accéder aux ressources réseau internes interdites aux utilisateurs placés hors pare-feu. Le tunnel des VPN traverse ce pare-feu et étend le réseau de l’entreprise aux utilisateurs éloignés. Mais les VPN présentent un inconvénient. Sans précautions strictes, des utilisateurs malveillants peuvent exploiter un VPN pour accéder au réseau de la société. Le VPN peut aussi servir de passerelle à un ver ou autre malware qui peut ainsi franchir le pare-feu et causer d’importants dégâts.

Certaines entreprises feront toujours une place aux VPN mais il en est d’autres qui peuvent s’en dispenser. Dans cet article, je décris deux scénarios d’utilisation classique des VPN: le courriel d’entreprise et les sites Web internes – puis je propose des solutions de remplacement efficaces.

Le courriel a été l’application « killer », c’est-à-dire dominante. Même s’il est aujourd’hui moins prépondérant, c’est probablement encore la principale justification d’un VPN. Classiquement, les utilisateurs distants composent un numéro gratuit spécial donné par un fournisseur de VPN ou un FAI, fournissent des références spéciales, puis se connectent à une passerelle VPN. Ils donnent alors leur nom et mot de passe utilisateur habituels.

Une fois connectés, les utilisateurs peuvent lancer leur e-mail client (par exemple Microsoft Outlook) et accéder à leur serveur de messagerie. Tout cela est un peu lourd et, heureusement, il existe désormais autre chose. RPC sur HTTP. Avec Windows Server 2003, Windows XP Service Pack 1 (SP1) ou version ultérieure, Exchange Server 2003 et Outlook 2003, Microsoft a introduit le concept de Remote Procedure Call sur HTTP (RPC sur HTTP). RPC est le protocole sous-jacent en vigueur entre des clients Outlook et Exchange.

En canalisant RPC au travers des pare-feu dans une connexion HTTP, on peut maintenant accéder à des serveurs Exchange de l’extérieur du pare-feu. Certes, les utilisateurs doivent encore se connecter à Internet mais c’est de plus en plus simples compte tenu de la multiplicité des connexions large bande pour télétravailleurs et des hotspots Wi-Fi que l’on trouve dans des cafés, des centres de séminaires, halls d’aéroport, et chambres d’hôtel. Une fois connectés à Internet, les utilisateurs peuvent ouvrir Outlook 2003 et accéder à leur boîte de réception et à d’autres dossiers comme s’ils travaillaient sur le LAN ou le VPN de l’entreprise. Il existe de nombreux scénarios de déploiement de RPC sur HTTP.

La méthode la plus simple, décrite ici, suppose la présence d’un serveur de membres de domaine Exchange sous Exchange 2003 SP1 ou version ultérieure. Si vous avez plusieurs serveurs Exchange ou si un ou plusieurs des serveurs Exchange est aussi un DC (domain controller), je vous conseille de ne pas suivre ces instructions mais de consulter plutôt l’article Microsoft TechNet « Exchange Server 2003 RPC over HTTP Deployment Scenarios » (http://www.microsoft.com/technet/pr odtechnol/exchange/2003/library/ex2k 3rpc.mspx ).

Sur le serveur Exchange, ouvrez le snap-in Microsoft Management Console (MMC) System Manager, choisissez le serveur Exchange dans le noeud Servers, faites un clic droit dessus, sélectionnez Properties dans le menu contextuel, puis allez à l’onglet RPCHTTP que montre la figure 1. Sélectionnez RPC-HTTP back-end server. Le message qui surgit vous indique qu’il n’y a pas de serveurs Exchange frontaux configurés. Vous pouvez ignorer cet avertissement pour cette configuration monoserveur. Donc, cliquez sur OK pour l’ignorer. Cliquez sur Apply pour appliquer le paramètre puis sur OK pour fermer la boîte de dialogue Properties. S’il n’y a pas de serveurs Exchange frontaux jouant le rôle de serveurs proxy pour RPC sur HTTP, vous devez poursuivre la configuration du serveur Exchange.

La première étape consiste à installer le RPC over HTTP Proxy (pour Windows 2003) sur votre serveur Exchange. Pour cela, ouvrez l’applet Add or Remove Programs du Control Panel, cliquez sur Add/Remove Windows Components, défilez dans la liste des composants jusqu’à atteindre Networking Services, cliquez sur le bouton Details, sélectionnez RPC over HTTP Proxy puis cliquez successivement sur OK, Next, Finish. La deuxième étape consiste à configurer les méthodes d’authentification pour le RPC over HTTP Proxy. Lancez le snap-in MMC IIS en sélectionnant Start, Administrative Tools, Internet Information Server (IIS) Manager. Dans le snap-in, naviguez jusqu’à Default Web Site, étendez-le, sélectionnez le répertoire virtuel RPC et faites un clic droit dessus. Dans le menu contextuel, sélectionnez Properties.