Chapitre 4 — VPN, IPsec, NAC & RADIUS/TACACS+

Ce module couvre les technologies d'accès distant sécurisé (VPN, IPsec, SSL-VPN) et les mécanismes de contrôle d'accès réseau (NAC, 802.1X, RADIUS, TACACS+).

VPN — Virtual Private Network

Mémorisez ! VPN = tunnel chiffré sur internet simulant une connexion réseau privée. IPsec = couche 3, header IP authentifié. SSL/TLS VPN = couche 7, fonctionne via HTTPS (port 443). Full tunnel vs Split tunnel.

Type VPN	Protocole	Couche	Usage
Site-to-Site	IPsec	3	Connexion permanente entre deux bureaux/datacenters
Remote Access	IPsec, SSL/TLS	3 ou 7	Employés en télétravail
SSL/TLS VPN	HTTPS (443)	7	Accès web, fonctionne à travers la plupart des firewalls
Split Tunnel	Any	—	Seul le trafic d'entreprise passe par le VPN — le reste va directement sur internet
Full Tunnel	Any	—	Tout le trafic passe par le VPN — meilleure visibilité et contrôle pour l'entreprise

IPsec — Internet Protocol Security

IPsec est une suite de protocoles pour sécuriser les communications IP. Il opère à la couche réseau (couche 3) et fonctionne en deux modes.

Modes IPsec

Mode	Ce qui est chiffré	Usage
Transport	Payload IP uniquement (données). L'en-tête IP original reste visible.	Communication hôte à hôte sur le même réseau
Tunnel	Paquet IP entier (en-tête + payload). Encapsulé dans un nouveau paquet IP.	VPN site-to-site, accès distant

Protocoles IPsec

AH (Authentication Header) : authentifie l'en-tête IP et le payload. Ne chiffre PAS — intégrité seulement.
ESP (Encapsulating Security Payload) : chiffre ET authentifie le payload. C'est le plus utilisé en pratique.
IKE (Internet Key Exchange) : protocole de négociation des clés de session. IKEv2 est la version recommandée.
SA (Security Association) : accord entre deux parties sur les algorithmes et clés à utiliser.

Astuce Examen

AH vs ESP : AH = authentification uniquement, pas de chiffrement (les données restent lisibles). ESP = authentification + chiffrement. Pour une confidentialité dans un VPN IPsec, ESP est requis. AH seul ne suffit pas car il ne chiffre pas.

NAC — Network Access Control

NAC contrôle quels appareils peuvent accéder au réseau en vérifiant leur posture de sécurité (conformité).

Agent-based NAC : un agent est installé sur l'endpoint qui rapporte sa posture (antivirus à jour, OS patché, chiffrement activé).
Agentless NAC : le NAC interroge l'appareil via le réseau (SNMP, WMI) sans agent installé.
Pre-admission NAC : vérifie la conformité AVANT d'autoriser l'accès au réseau.
Post-admission NAC : surveille la conformité en continu APRÈS connexion.
Remediation VLAN : les appareils non conformes sont mis dans un VLAN de remédiation où ils peuvent uniquement accéder aux ressources de mise à niveau (Windows Update, antivirus update).

Scénario : Un employé connecte son PC personnel au réseau d'entreprise. Le NAC détecte : antivirus absent, OS non patché depuis 3 mois. Le PC est automatiquement placé dans le VLAN de remédiation. Il peut télécharger les mises à jour mais pas accéder aux ressources internes. Une fois conforme, il est admis sur le VLAN normal.

Quiz — VPN, NAC, IPsec

1. Quelle est la différence entre le mode Transport et le mode Tunnel d'IPsec ?

Le mode Transport est utilisé uniquement pour IPv6 Le mode Tunnel encapsule le paquet IP entier dans un nouveau paquet ; le mode Transport ne chiffre que le payload Le mode Tunnel est moins sécurisé car il expose l'en-tête Le mode Transport est utilisé pour les VPN site-to-site

Mode Tunnel = paquet entier (en-tête + données) chiffré et encapsulé dans un nouveau paquet. Idéal pour les VPN site-to-site car les IPs internes sont cachées. Mode Transport = données chiffrées mais l'en-tête IP original reste visible — pour les communications hôte-à-hôte.

2. Un VPN "split tunnel" est configuré sur les PC des employés en télétravail. Quelle est la conséquence de sécurité de cette configuration ?

Tout le trafic internet des employés est inspecté par le pare-feu de l'entreprise Les employés ne peuvent pas accéder à internet en dehors des ressources d'entreprise Le trafic non-entreprise passe directement sur internet sans inspection, créant un risque si l'appareil est compromis Les employés ont deux adresses IP simultanément

Split tunnel = risque : le PC peut être infecté via le trafic internet non inspecté, puis accéder au réseau d'entreprise via le VPN. Full tunnel force tout le trafic par l'entreprise (inspectable) mais augmente la latence et la charge.

3. Quelle est la différence principale entre AH et ESP dans IPsec ?

AH chiffre les données ; ESP ne le fait pas AH est utilisé en mode Tunnel ; ESP en mode Transport AH utilise RSA ; ESP utilise AES AH fournit uniquement l'authentification ; ESP fournit authentification + chiffrement

AH (Authentication Header) = intégrité + authentification uniquement, pas de confidentialité. ESP (Encapsulating Security Payload) = intégrité + authentification + chiffrement. Pour un VPN qui doit protéger la confidentialité des données, ESP est requis.

4. Qu'est-ce qu'une "Security Association (SA)" dans IPsec ?

Un accord unidirectionnel entre deux pairs définissant les algorithmes et les clés à utiliser Un certificat TLS utilisé pour l'authentification IKE Un VLAN dédié aux tunnels VPN La base de données des politiques IPsec (SPD)

Une SA est un accord unidirectionnel sur les paramètres de sécurité (algorithme, clé, durée de vie). Pour une communication bidirectionnelle, il faut deux SAs. IKE est le protocole qui négocie et établit ces SAs.

5. Un NAC vérifie la posture de sécurité d'un appareil avant de l'autoriser sur le réseau. Un appareil non conforme est :

Complètement bloqué et nécessite une intervention manuelle Placé dans un VLAN de remédiation avec accès limité aux ressources de mise à conformité Autorisé mais avec des journaux supplémentaires Redirigé vers un honeypot

Le VLAN de remédiation (quarantine VLAN) permet à l'appareil d'atteindre les serveurs de mise à jour (Windows Update, antivirus) pour se mettre en conformité, sans accéder aux ressources sensibles. Une fois conforme, il est déplacé vers le VLAN normal.

6. Quel protocole VPN fonctionne sur le port TCP 443 et traverse donc la plupart des firewalls sans problème ?

IPsec en mode Tunnel L2TP/IPsec SSL/TLS VPN (HTTPS VPN) PPTP

SSL/TLS VPN utilise HTTPS (port 443) qui est généralement autorisé par les firewalls. IPsec utilise les ports UDP 500/4500 et le protocole ESP (protocole IP 50) qui peuvent être bloqués dans des environnements restrictifs.

7. Quelle est la différence entre un VPN "site-to-site" et un VPN "d'accès distant" (remote access) ?

Le site-to-site chiffre les données ; le remote access ne le fait pas Le remote access est permanent ; le site-to-site est temporaire Le site-to-site est moins sécurisé Site-to-site = tunnel permanent entre deux réseaux/bureaux ; remote access = connexion individuelle d'un utilisateur distant

Site-to-site = tunnel toujours actif entre le siège et les agences — transparent pour les utilisateurs. Remote access = chaque employé en télétravail établit son propre tunnel VPN vers le réseau d'entreprise. Les deux utilisent IPsec ou SSL/TLS.

8. IKEv2 (Internet Key Exchange version 2) est préféré à IKEv1 dans les déploiements IPsec modernes pour quelle raison principale ?

IKEv2 supporte le MOBIKE (mobilité, reprise de session après changement d'IP) et est plus robuste IKEv2 chiffre avec AES-512 au lieu d'AES-256 IKEv2 n'utilise pas de certificats et est donc plus simple à déployer IKEv2 est un standard propriétaire Cisco

IKEv2 ajoute le MOBIKE (Mobile IKE) — si un client change d'adresse IP (Wi-Fi → 4G), le tunnel VPN est maintenu sans reconnexion. IKEv2 est aussi plus efficace (moins d'échanges) et résistant aux attaques DoS (avec cookies).

9. Un NAC "agentless" vérifie la posture d'un appareil :

Via un agent logiciel installé sur chaque endpoint En comparant l'adresse MAC à une liste blanche Via des protocoles réseau (SNMP, WMI, SSH) sans nécessiter d'installation logicielle sur l'appareil En demandant à l'utilisateur de remplir un formulaire de conformité

NAC agentless = aucun logiciel à installer sur les endpoints. Pratique pour les appareils BYOD et les invités. Inconvénient : accès réseau limité pour l'interrogation, moins précis qu'un agent. NAC agent-based = plus précis mais requiert déploiement et gestion des agents.

10. Quel est l'avantage principal du NAC "post-admission" par rapport au NAC "pre-admission" ?

Le post-admission est plus rapide pour les utilisateurs car il n'y a pas de vérification initiale Le post-admission surveille les appareils en continu après connexion — peut détecter si un appareil devient non conforme en cours de session Le post-admission est plus sécurisé car il bloque dès la connexion Le post-admission ne nécessite pas d'agent sur l'endpoint

Pre-admission = vérifie avant connexion (une seule vérification). Post-admission = surveillance continue. Si un appareil conforme à la connexion télécharge un malware en cours de session, le post-admission peut le détecter et l'isoler automatiquement.