Guide des solutions scurit et VPN Cisco Systems

SommairePourquoi Cisco ? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .1 Section 1 - VPN Rseaux privs virtuels (VPN) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .5 VPN site--site . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .5 VPN Cisco accs distant . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .10 Easy VPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .16 Section 2 - FIREWALLS Firewalls . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .21 Cisco PIX Firewall . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .21 Cisco IOS Firewall . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .24 Section 3 - DETECTION DINTRUSION Dtection dintrusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .29 Systme de dtection dintrusion scuris Cisco . . . . . . . . . . . . . . . . . . . . . . . . . . .30 Section 4 - CONTROLE DACCES Contrle daccs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .37 Serveur de contrle daccs Cisco Secure ACS . . . . . . . . . . . . . . . . . . . . . . . . . . . .37 Section 5 - GESTION DE LA POLITIQUE DE SECURITE Administrer la scurit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .43 CiscoWorks VPN/Security Management Solution (VMS) . . . . . . . . . . . . . . . . . . . .43 Section 6 - PROGRAMME SECURITY ASSOCIATES Produits complmentaires Cisco Security Associates . . . . . . . . . . . . . . . . . . . . . . . .51 Section 7 - REPRESENTATION GRAPHIQUE DES SOLUTIONS Solutions pour les grandes entreprises . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .58 Solutions pour les entreprises de taille moyenne . . . . . . . . . . . . . . . . . . . . . . . . . . .59 Solutions pour les petites entreprises . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .60 Solutions pour les entreprises de la nouvelle conomie . . . . . . . . . . . . . . . . . . . . . .61 Solutions pour les fournisseurs de services . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .62 Section 8 - GLOSSAIRE Terminologie VPN et scurit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .65

Pourquoi Cisco ?Pourquoi faire appel Cisco en matire de scurit et de rseaux privs virtuels ?Depuis son origine, Cisco Systems a pour objectif de permettre ses clients de dvelopper leur activit en sappuyant sur des rseaux performants. Or un rseau non scuris noffre pas toutes les garanties ncessaires une entreprise pour le dveloppement de son activit, pire il peut mettre en pril lintgralit de lentreprise. Assurer la scurit des rseaux des entreprises, quelle que soit leur taille, est donc devenu un des objectifs majeurs de Cisco. Et qui mieux que le leader du march des solutions rseaux peut garantir la scurit, linteroprabilit et la cohrence des rseaux ? Fort de son expertise rseau, Cisco Systems a ainsi dvelopp la gamme de solutions de scurit et de rseaux privs virtuels (VPN) la plus complte du march. Reconnu comme le leader du march de la scurit, Cisco Systems propose aujourdhui ses clients et partenaires de bnficier des avantages suivants : Gamme de solutions : Cisco propose un large ventail de produits VPN et de scurit pour rpondre la diversit des problmatiques clients : firewalls, systmes de dtection dintrusion, concentrateurs VPN et routeurs et ce, quelle que soit leur taille et leur configuration. Leadership et expertise du secteur : selon le groupe dexperts IDC, les firewalls ddis de la gamme Cisco PIX, occupent aujourdhui la premire place du march mondial et, selon le cabinet Frost & Sullivan, il en est de mme pour le systme scuris de dtection dintrusion Cisco (IDS). De plus, les listes de contrle daccs Cisco (ACL) sont la technologie de scurit la plus largement utilise dans le monde, et le magazine Network Computing a lu le concentrateur Cisco VPN 3060 "Produit matriel de lanne". Assistance technique 7 j/7 et 24 h/24 : les produits de scurit et VPN Cisco bnficient du mme service dassistance technique performant que les autres quipements Cisco, comprenant un support 24 h/24. Les services dassistance et de maintenance Cisco incluent galement les outils, lexpertise et les ressources ncessaires linstallation, la maintenance et loptimisation rapides des produits de scurit et VPN Cisco de faon protger efficacement le rseau dentreprise.

1

Pourquoi Cisco ? Interoprabilit garantie : Cisco vous garantit la compatibilit de tous ses produits VPN et de scurit. De plus, la compatibilit des produits tiers avec les produits Cisco est dsormais garantie par le test officiel et indpendant du programme Security Associates, et ne repose pas sur des slogans publicitaires ambigs. Formation et certification : au-del de son expertise technologique, Cisco Systems a dvelopp un programme complet de certification permettant ses partenaires de bnficier de son exprience et de devenir de vritables spcialistes de la scurit des rseaux Sensibilisation des Entreprises : La scurit des rseaux informatiques est un domaine qui touche lensemble de lentreprise, dirigeants comme employs. Quil sagisse de sensibiliser les directeurs informatiques sur la ncessit de dployer une vritable politique de scurit, ou les employs sur limportance de protger leurs outils de travail, Cisco Systems a dvelopp une gamme doutils de communication et de guides pour les informer sur lensemble des solutions mettre en uvre.

2

VPN

Section 1 VPN

Section 1 VPN

VPNRseaux privs virtuels (VPN)Afin dassurer la scurit des connexions entre sites distants tout en utilisant le rseau public pour limiter les cots de communications, de plus en plus dentreprises dploient des rseaux privs virtuels. Les VPN ont deux applications principales : la connectivit site--site et la connectivit accs distant. Dans le schma ci-dessous illustrant un systme de scurit physique, les VPN sont compars des fourgons blinds, assurant la confidentialit et la scurit du transfert entre deux ou plusieurs entits dun rseau public. Cisco apporte une amlioration significative dans la gestion et le dploiement des VPN avec la fonctionnalit Cisco Easy VPN.

VPN site--siteLes VPN site--site sont un autre type dinfrastructure WAN (rseau tendu). Ils remplacent et amliorent les rseaux privs existants utilisant les lignes loues, les protocoles de relais de trame ou le mode ATM (mode de transfert asynchrone) pour connecter les sites distants et les succursales la ou aux maisons mres. Les VPN site-site ne modifient pas en profondeur les exigences des rseaux tendus privs, telles que la prise en charge des divers protocoles, une grande fiabilit ou une volutivit optimale. Au contraire, ils rpondent ces exigences tout en diminuant les cots inhrents ces infrastructures et en offrant une flexibilit accrue. Les VPN site--site peuvent utiliser les technologies de transport les plus rpandues aujourdhui, telles que le rseau public Internet ou les rseaux des fournisseurs daccs, via la tunnellisation et le cryptage afin dassurer la confidentialit des donnes et la qualit de service (QoS) pour la fiabilit du transport.5

VPN site--site Cisco

Produits Les VPN site--site sont plus performants sils utilisent les routeurs optimiss VPN Cisco. Ces derniers garantissent lvolutivit du systme face aux progrs continus du cryptage matriel. De plus, les routeurs VPN de Cisco intgrent les fonctions de routage, de scurit et de qualit de service inhrentes au logiciel IOS Cisco garantissant un dploiement VPN site--site scuris, volutif et fiable. Cisco a cr une large gamme de routeurs VPN pour permettre de rpondre aux diffrents besoins des configurations dentreprises, quelles souhaitent connecter des sites de 10 personnes ou de plus de 200 personnes et ce, quelle que soit la technologie utilise (ADSL).

Principaux avantages et fonctionnalits des solutions VPN Cisco Prise en charge de la tunnellisation et du cryptage en utilisant les protocoles standard du march, tels que IPsec (Internet Protocol Security), 3DES (Digital Encryption Standard 3) et AES. Primtre de scurit absolue du rseau priv virtuel, avec fonction de filtrage de session et dtection dintrusion assure par le logiciel Cisco IOS. Qualit de service sensible lapplication et gestion de la bande passante garantissant la fiabilit du transfert VPN.

6

VPNSegment Micro-entreprise Vitesse Mode daccs VPN DSL avec interface Ethernet DSL avec modem DSL Jusqu 144 Kbits/sec RNIS DSL avec interfaces Ethernet DSL avec modem DSL Jusqu T1/E Jusqu T1/E1 double n x T1/E1 Produit SOHO 91 SOHO 97 Cisco srie 800 Cisco 831 Cisco 1710 Cisco 837 Cisco 1700 - WIC ADSL Cisco srie 1700 Cisco srie 2600XM Cisco srie 3600 Cisco srie 3700 Cisco 7120 Cisco srie 7100 Cisco srie 7200

PME

Succursale Filiale

Maison mre

Jusqu OC-3

Routage intgral jusqu la couche 3, y compris les protocoles de routage externes, tels que BGP (Border Gateway Protocol) pour laccs Internet ou au rseau priv virtuel. Diffrents interfaages avec le rseau local (LAN) ou tendu (WAN) pour laccs Internet ou au rseau priv virtuel et la connectivit du rseau local. La solution VPN de Cisco offre les avantages suivants : Solution VPN globale avec intgration des priphriques : les solutions VPN site-site de Cisco regroupent dans un quipement unique toutes les fonctions essentielles aux dploiements VPN scuriss, volutifs et fiables. Ainsi, les architectures de rseaux sont simplifies et linvestissement total limit. La plupart des offres concurrentes disponibles sur le march sont dautant plus complexes quelles ncessitent lutilisation de plusieurs quipements pour mettre en uvre une solution VPN site--site globale. Evolutivit des performances : grce une gamme tendue de routeurs optimiss VPN, Cisco rpond tous les cas de figures en matire de dploiement VPN, quelle quen soit la taille, avec une ligne RNIS ou OC-3.

7

VPN site--site Cisco Compatibilit des fonctions : les routeurs VPN de Cisco offrent une solution VPN site-site globale dans un quipement unique, et assurent une meilleure interoprabilit des fonctions VPN, telles que le firewall, la qualit de service, la tunnellisation et le cryptage. Auto-rtablissement du rseau : les routeurs VPN de Cisco utilisent les capacits de rsilience du rseau inhrentes au systme dexploitation inter-rseau (IOS) Cisco, telles que lindication du maintien du tunnel, le TED (Tunnel Endpoint Discovery) et la dcouverte dynamique du routage via les tunnels GRE (encapsulage gnrique du protocole de routage), pour assurer une redondance du VPN et une rcupration dynamique ingales. Optimisation de linvestissement matriel : les solutions VPN site--site de Cisco offrent une interface LAN/WAN et une grande souplesse dadaptation aux volutions matrielles, ainsi que de nombreuses options dentre-sortie (E/S). Cette modularit vous aide optimiser votre investissement matriel en vous permettant dadapter les routeurs VPN de Cisco aux nouvelles technologies de rseaux. Questions-rponses Q. Quelle est la diffrence entre les routeurs optimiss VPN et les autres routeurs Cisco ? R. Les routeurs VPN optimiss de Cisco proposent une acclration matrielle du cryptage en option et sont compatibles IPsec, offrant ainsi lvolutivit ncessaire aux applications VPN site--site. Q. Les routeurs optimiss VPN de Cisco peuvent-ils tre utiliss dans des VPN accs distant ? R. Oui, les routeurs optimiss VPN de Cisco peuvent assurer la connectivit des VPN accs distant telle quelle est dclare dans les environnements VPN hybrides accs distant/site--site. Toutefois, le concentrateur Cisco VPN srie 3000 est spcialement conu pour les VPN accs distant ; il est donc parfaitement adapt aux environnements dont lapplication principale repose sur la connectivit du VPN accs distant (reportez-vous au chapitre "VPN Cisco accs distant" ci-aprs). Q. Les routeurs optimiss VPN de Cisco peuvent-ils tre utiliss si un firewall est dj install sur le rseau ? R. Oui, les routeurs optimiss VPN de Cisco peuvent tre installs en amont, en aval ou au mme niveau que le firewall existant. Q. Quels sont les avantages des routeurs optimiss VPN de Cisco par rapport aux solutions VPN avec firewall ? R. Certains firewalls peuvent assurer la tunnellisation et le cryptage ; toutefois, ils ne sont pas quips des fonctions indispensables au dploiement VPN site--site, telles que la prise en charge multi-protocoles, la qualit de service ou les fonctions de routage.8

VPNPourquoi mettre en uvre ce produit ? Les VPN site--site permettent de mettre niveau, moindre cot, les architectures multi-points utilisant le rseau commut limit en bande passante et gnralement obsoltes, employes par la plupart des chanes de magasins, les tablissements financiers et les rseaux dagences. La mise niveau vers un VPN vous permet de distribuer un accs Internet et des applications Web depuis leurs emplacements. Les VPN site--site tendent le WAN moindre cot et en toute scurit vers des entits non desservies, telles que des filiales internationales, des succursales et des partenaires commerciaux (extranet). Les solutions VPN site--site de Cisco, totalement intgres et composes dun quipement unique, peuvent tre dployes et configures en toute simplicit. Types de rseaux Tous les types. La gamme tendue des routeurs optimiss VPN de Cisco permet de rpondre tous les types de dploiement, quel que soit le mode daccs au rseau. Mise en uvre Ces routeurs peuvent tre installs la limite physique du rseau tendu (WAN) ou en aval, gnralement au niveau de la couche daccs Internet. Equipements associs/ncessaires la mise en uvre Pour suivre lvolution de la technologie du cryptage, certains routeurs Cisco (Cisco sries 1700, 2600, 3600, 7100 et 7200) sont quips de cartes supplmentaires dacclration du cryptage. Chacune de ces plate-formes offre des interfaces LAN et WAN modulaires adaptables aux exigences de chaque site. Aucun quipement supplmentaire nest ncessaire pour faire fonctionner le routeur.

Pour de plus amples informations sur les solutions VPN site--site de Cisco : www.cisco.com/go/evpn

9

VPN Cisco accs distant VPN Cisco accs distantAujourdhui, les VPN sont la solution incontournable pour assurer les connexions accs distant moindre cot. En effet, en permettant aux entreprises dutiliser Internet via des fournisseurs daccs pour favoriser lchange dinformations entre des PC distants et le sige de lentreprise par exemple, le dploiement dune solution VPN vite des connexions tlphoniques point point coteuses. Cest la solution idale pour offrir aux personnes en dplacement, aux travailleurs distants ou effectuant des heures supplmentaires de bnficier dune connectivit scurise et haut dbit via le cble et les lignes DSL. Concentrateur VPN Cisco srie 3000 Le concentrateur Cisco VPN srie 3000, solution VPN pour accs distant, intgre des fonctions avances haute disponibilit dans une architecture ddie unique. Il permet ainsi aux entreprises dimplmenter des infrastructures VPN performantes, volutives et fiables pour grer leurs applications critiques depuis un accs distant. Le concentrateur Cisco VPN srie 3000 comprend un client VPN simple dutilisation et conforme aux normes, ainsi que des plate-formes de terminaisons de tunnel volutive et un systme de gestion facilitant linstallation, la configuration et la surveillance de vos VPN accs distant. Indit sur le march, ce concentrateur est la seule plate-forme volutive offrant des composants extractibles et pouvant facilement tre mis niveau. Afin de prendre en charge tout type darchitecture, le concentrateur Cisco VPN srie 3000 est dclin dans diffrentes versions, dont le Cisco VPN srie 3060, lu "Produit matriel de lanne" par le magazine Network Computing.

10

VPNPrincipaux avantages et fonctionnalits Dploiement et utilisation simplifis : le concentrateur Cisco VPN srie 3000 est conu de manire sintgrer linfrastructure du rseau sans quaucune modification ne soit ncessaire. Il sadapte galement au protocole RADIUS (Remote Access DialIn User Service) existant, aux serveurs de domaine NT et 2000 ou aux serveurs Security Dynamics ACE. Cette grande souplesse dauthentification propose une interface didentification visuelle semblable celle dont vous disposiez en utilisant directement le rseau commut. En outre, il nest plus ncessaire de crer une seconde base de donnes dauthentification. Si larchitecture nen prvoit pas, le concentrateur Cisco VPN srie 3000 dispose dun serveur dauthentification intgr, permettant didentifier les utilisateurs. Le concentrateur Cisco VPN srie 3000 est compatible avec Cisco VPN 3000 Client, Microsoft Windows 2000 L2TP/IPsec Client ou PPTP (protocole de tunnellisation point--point), vous garantissant ainsi une flexibilit optimale. Performances et volutivit : le concentrateur Cisco VPN srie 3000 fournit le niveau de performances le plus lev du march. La plate-forme prend actuellement en charge un dbit des donnes cryptes 3DES maximal de 100 Mbits/sec, et jusqu 10 000 tunnels simultans. Pour augmenter le dbit des donnes cryptes, vous pouvez ajouter au concentrateur Cisco VPN srie 3000 des modules SEP ( traitement volutif du cryptage) bass sur un ASIC ddi. Scurit : le concentrateur Cisco VPN srie 3000 prend totalement en charge un certain nombre de systmes dauthentification, tels que RADIUS, lidentification de domaine Microsoft NT/2000, RSA SecurID et les certificats numriques. De plus, le concentrateur Cisco VPN srie 3000 peut tre gr en toute scurit laide de SSL (Secure Sockets Layer) ou via telnet scuris. Haute disponibilit : le concentrateur Cisco VPN srie 3000 est une plate-forme stable avec un temps moyen entre les pannes (MTBF) suprieur 200 000 heures (soit plus de 22 ans). Lquipement est muni de sous-systmes redondants (ventilateurs, alimentations, modules SEP) et de fonctionnalits dquilibrage de charges et VRRP (Virtual Router Redundancy Protocol) assurant un temps de fonctionnement optimal. Grce aux fonctions de surveillance tendues du concentrateur Cisco VPN srie 3000, les administrateurs rseau connaissent ltat du systme en temps rel et reoivent des avertissements sans dlai.

11

VPN Cisco accs distant Gestion scurise : la gestion du concentrateur Cisco VPN srie 3000 peut tre assure via un navigateur Web standard (Hypertext Transfer Protocol [HTTP] ou Secure HTTP [HTTPS]), via telnet, telnet scuris ou un port de console. La mise en place et la maintenance des politiques de scurit sont simplifies grce une configuration des niveaux daccs par utilisateur et par groupe. Logiciel VPN Cisco Client Le logiciel VPN Cisco Client est simple dployer et mettre en uvre. Il est utilis pour garantir la scurit au niveau des tunnels crypts de bout-en-bout du concentrateur Cisco VPN srie 3000. Le concentrateur Cisco VPN srie 3000, idalement conu et offrant une implmentation compatible IPsec, est livr avec une licence pour un nombre illimit dutilisateurs. Le client peut tre prconfigur pour les dploiements de masse et les premires ouvertures de sessions se font en toute simplicit. Les politiques daccs au VPN sont labores, centralises et appliques au niveau du client lorsque la connexion est tablie. Questions-rponses Q. Quelles diffrences existe-t-il entre les cinq modles du concentrateur Cisco VPN srie 3000 disponibles ? Concentrateur Cisco 3005 100 Cisco 3015 100 Logiciel 0 4 Mbits/sec Cisco 3030 1 500 Matriel 1 50 Mbits/sec Cisco 3060 5 000 Matriel 2 100 Mbits/sec 256 En option Cisco 3080 10 000 Matriel 4 100 Mbits/sec 256 Standard

Nb dutilisateurs

Type de cryptage Logiciel SEP pris en ch. Dbit crypt maximum Mmoire (Mo) Alimentation redondante 0 4 Mbits/sec

32 Non

64 En option

128 En option

12

VPNQ. Comment les concentrateurs Cisco VPN srie 3000 intgrent-ils le cryptage ? Les ressources du systme sont-elles affectes ? Est-ce volutif ? R. Les concentrateurs Cisco des sries 3005 et 3015 procdent au cryptage au niveau logiciel. Les concentrateurs Cisco milieu et haut de gamme des sries 3030, 3060 et 3080 utilisent les modules SEP pour exploiter leurs fonctions de cryptage. Lutilisation dun quipement ddi, de type SEP, les sries 3030, 3060 et 3080 peuvent prendre en charge un grand nombre de tunnels crypts et sadapter sans que les performances globales du systme nen soient affectes. Q. Quelles sont les caractristiques de haute disponibilit ou de tolrance aux pannes des concentrateurs VPN Cisco ? R. Les concentrateurs Cisco VPN srie 3000 prennent en charge les modules SEP, les alimentations et les ventilateurs redondants. De plus, ils intgrent le protocole VRRP pour assurer la redondance et le basculement multi-chssis, ainsi quun mcanisme dquilibrage de charge entre concentrateurs. Q. Quest-ce que la tunnellisation fractionne ? Est-elle prise en charge par les concentrateurs VPN Cisco ? R. La tunnellisation fractionne garantit un accs scuris aux donnes de lentreprise tout en offrant un accs direct Internet via les ressources du FAI (allgeant ainsi laccs Internet du rseau interne lentreprise). Ladministrateur active et contrle la prise en charge de la tunnellisation fractionne via le concentrateur. Q. Le VPN Cisco Client srie 3000 fonctionne-t-il lorsque des dispositifs quips de NAT/PAT (Network/Port Address Translation) sont installs ? R. Oui. Une intervention de l'utilisateur est ncessaire pour faire fonctionner le NAT/PAT de manire transparente avec le concentrateur VPN Cisco srie 3000. Un administrateur peut centraliser le contrle lorsquun utilisateur doit employer IPsec ou NAT/PAT Transparent IPsec. Si le NAT/PAT Transparent IPsec est activ pour un utilisateur spcifique, une ngociation est automatiquement enclenche et la transmission des donnes via le NAT/PAT peut aboutir. Pourquoi mettre en uvre ce produit ? Grce aux connexions Internet accs distant de qualit professionnelle via le concentrateur VPN Cisco srie 3000, vous ralisez des conomies sans prcdent, bnficiez dune flexibilit et dune fiabilit ingales pour un excellent niveau de performances. La mise en uvre du concentrateur VPN Cisco srie 3000 est une alternative rentable aux serveurs distants numrotation directe. Il permet aux entreprises de rduire le nombre dappels longue distance et doublier les problmes lis leur modem. Les personnes en dplacement, travaillant distance ou effectuant des heures supplmentaires remplacent les appels longue distance par des appels locaux via des modems cble ou ADSL pour accder leur FAI.13

VPN Cisco accs distantTypes de rseaux Tous les types. La gamme des concentrateurs VPN Cisco srie 3000 prend en charge toutes les tailles dentreprises et de rseaux. Mise en uvre Le concentrateur VPN Cisco srie 3000 et le firewall sont gnralement placs derrire le routeur daccs Internet. Le concentrateur peut tre plac paralllement, en amont ou en aval du firewall. Loption la plus simple dans un rseau existant est de brancher le concentrateur en parallle du firewall ; aucune modification de configuration du firewall nest alors requise et le concentrateur accde directement aux services internes du rseau (Dynamic Host Configuration Protocol [DHCP] ou RADIUS, par exemple). Vous pouvez renforcer la scurit en verrouillant toutes les interfaces des priphriques rseau dclars dans le chemin du VPN. Lorsque le concentrateur est install en amont du firewall, ce dernier filtre le trafic entrant, mais laccs aux services du rseau est plus compliqu. Si le concentrateur est protg (derrire) le firewall, il convient dinstaller un conduit travers le firewall pour permettre au concentrateur daccder au trafic du VPN. Il est possible dimplmenter des variantes avec les interfaces DMZ places en aval du firewall, mais les configurations dcrites ci-dessus sont les plus rpandues. Equipements associs/ncessaires la mise en uvre Le concentrateur VPN Cisco srie 3000 est un priphrique Ethernet--Ethernet pouvant tre branch derrire tout routeur Internet. Toutefois, il nest pas ncessaire dinstaller une interface Ethernet dauthentification client sur le routeur. Lauthentification client peut tre gre par des bases de donnes dauthentification utilisateur externes compatibles ou par une base de donnes interne (100 utilisateurs maximum).

14

VPNPour de plus amples informations sur les concentrateurs VPN et Client Cisco : www.cisco.com/go/evpn

15

Easy VPN Easy VPNLors du dploiement de VPN pour les tltravailleurs, les itinrants et les petites agences, la facilit de mise en uvre est indispensable car les ressources techniques sont rarement disponibles sur les sites distants. Le dploiement de VPN accs distants et site--site na jamais t aussi simple pour les petites, moyennes et grandes entreprises grce au produits Cisco. Les fonctionnalits Cisco Easy VPN Remote et Cisco Easy VPN Server offrent flexibilit, volutivit, et simplicit dutilisation aux VPNs accs distants et site--site. Produits La fonctionnalit Cisco Easy VPN Remote permet aux routeurs ayant pour version dIOS la version 12.2(4)YA (ou une version plus rcente) et les firewalls Cisco PIX dagir comme des clients VPN distants. Cette fonctionnalit est disponible sur les routeurs Cisco 800, uBR900, et Cisco 1700, et sur le PIX 501. La fonctionnalit Cisco Easy VPN Server, disponible dans la version dIOS 12.2(8)T (ou plus rcente), augmente la compatibilit des produits VPNs et permet aux concentrateurs VPN Cisco, aux firewalls PIX Cisco et aux routeurs Cisco dagir comme des quipements de terminaisons VPN dans les architectures de VPN site--site et accs distant. Cette fonctionnalit est disponible sur les routeurs uBR900, Cisco 1700, Cisco 2600XM, Cisco 3600, Cisco 7100 et Cisco 7200, ainsi que sur les concentrateurs VPN 3000 et sur les firewalls PIX. Principaux avantages Dploiement simplifi : Le but de Cisco Easy VPN est de simplifier le dploiement des VPNs site--site et accs distant en faisant agir les quipements VPN des sites distants comme des clients VPN. Cela consiste en une configuration et une administration depuis le site central et en majeure partie sur lquipement de terminaison VPN du site central. Utilisation facilit : Les quipements VPN des sites distants agissent comme des clients VPN. Il suffit donc de leur indiquer vers quel quipement de terminaison VPN ils doivent aller (adresse IP), le nom de groupe auquel ils appartiennent et le mot de passe correspondant. Cela est aussi simple que de se connecter un rseau en fournissant un nom dutilisateur et un mot de passe. Intgration lexistant : La fonctionnalit Cisco Easy VPN est conue de manire sintgrer linfrastructure du rseau sans quaucune modification ne soit ncessaire. Elle peut donc sintgrer facilement dans tous les environnements existants et venir de rseau VPN.

16

VPNQuestions-rponses Q. Quest-ce que Cisco Easy VPN Remote ? R. Pour les connexions distantes, Cisco Easy VPN Remote permet aux routeurs et aux quipements de scurit dtablir et de maintenir un tunnel VPN sur un quipement de terminaison Cisco Easy VPN Server sans avoir faire de configuration complexe sur le site distant. Q. Quest-ce que Cisco Easy VPN Server ? R. Cisco Easy VPN Server accepte les appels entrants des quipements Cisco Easy VPN Remote et des clients logiciels VPN et sassure que les rgles de connexion sont jour avant la mise en place du tunnel VPN. Q. Quels feature sets du logiciel Cisco IOS incluent la fonctionnalit Cisco Easy VPN Remote ? R. Tous les feature sets avec une image IP Security (IPSec), c'est--dire DES et 3DES, incluent la fonctionnalit Cisco Easy VPN Remote. Q. Combien de tunnels supporte Cisco Easy VPN Remote ? R. Cisco Easy VPN Remote supporte un tunnel jusqu lquipement de terminaison VPN. Q. Combien de tunnels supporte Cisco Easy VPN Server ? R. Cisco Easy VPN Server supporte autant de tunnels que la plateforme dans laquelle il tourne.

17

Easy VPNPourquoi mettre en uvre ce produit ? Car toutes les entreprises souhaitant dployer et administrer des VPNs site--site ou accs distant peuvent bnficier de la simplicit de configuration et dinstallation des VPNs grce aux fonctionnalits Cisco Easy VPN Remote et Cisco Easy VPN Server. Types de rseaux Tous les types. Les fonctionnalits Cisco Easy VPN sappuient sur les gammes de routeur, de firewall et concentrateur VPN qui sadaptent tous les types de rseau. Mise en uvre Les communications Cisco Easy VPN Remote sont ralises avec les extensions IKE (Internet Key Exchange), connues sous le nom de Mode-Config. Les attributs ModeConfig sont dlivrs par lquipement de terminaison VPN central. En poussant les paramtres aux clients, les changements dadresses (adresses temporaires sur connexion ADSL par exemple) peuvent tre grs facilement car chaque site distant peut obtenir les mises jour lors de linitiation du tunnel VPN. Les paramtres pousss sont ladresse IP interne, le subnet mask interne, ladresse du serveur DHCP, ladresse du serveur WINS et les informations du split tunneling. Equipements associs/ncessaires la mise en uvre Pour Cisco Easy VPN Remote : routeurs Cisco 800, uBR900, et Cisco 1700, firewall PIX 501. Pour Cisco Easy VPN Remote : routeurs uBR900, Cisco 1700, Cisco 2600XM, Cisco 3600, Cisco 7100 et Cisco 7200, concentrateurs VPN 3000 et firewalls PIX.

Pour de plus amples informations sur Cisco Easy VPN : www.cisco.com/go/evpn

18

FIREWALLS

Section 2 FIREWALLS

Section 2 FIREWALLS

FirewallsFirewallsUn firewall est une solution mise en place dans une architecture rseau afin de renforcer la politique de scurit de lentreprise et de restreindre laccs aux ressources du rseau. Le schma ci-dessous illustrant un systme de scurit physique compare le firewall un verrou bloquant laccs un primtre ou lentre dun btiment. Seuls certains utilisateurs (dtenant une cl ou un badge) sont autoriss entrer.

Cisco PIX FirewallCisco PIX Firewall, considr comme le produit le plus performant, occupe la premire place du march. A ce titre, il est le produit phare de Cisco en matire de scurit depuis 1996. Install sur un rseau, le PIX dtermine si le trafic est autoris, dans un sens ou dans lautre. Le cas chant, il active la connexion ; celle-ci aura un impact quasiment nul sur les performances du rseau. Les donnes dun trafic non autoris sont dtruites.

21

Cisco PIX FirewallProduits de la gamme Cisco PIX FirewallModle PIX 501 PIX 506E PME Illimit 25 1 300 32 2 10BaseT Non 20 16 PIX 515E-UR PME Illimit 2000* 1 433 64 6 Oui 188 63* PIX 525-UR Entreprise Illimit 2000* 3 600 256 8 Oui 360 70* PIX 535-UR Entreprise Illimit 2000* 3 1 GHz 1 GB 10 Oui 1,7 Gbps 95*

March Micro-entreprise Nb utilisateurs par licence 10 ou 50 Nb max de tunnels VPN 5 Taille (RU)