La plupart des VPN pour petites entreprises se connectent toujours avec rien d'autre qu'un fichier de configuration. Celui qui détient ce fichier détient les clés de votre réseau. Cette mise à niveau ajoute un compte nommé, un mot de passe et un code à usage unique à chaque connexion, en utilisant l'OpenVPN intégré à votre pare-feu.
Dans la vidéo, toute la mise à niveau se déroule dans l'interface d'administration du pare-feu : ouvrez l'adresse du pare-feu dans un navigateur, accédez à OpenVPN, ouvrez les paramètres du Serveur et procédez d'abord à l'authentification. Rien ici n'a besoin d'un nouveau serveur ou d'un module complémentaire payant. L'ordre est cependant important : changez les choses dans le mauvais ordre et vous pouvez verrouiller tout le monde, y compris vous-même. Cette page suit l'ordre sécurisé : auditer, authentifier, nommer chaque utilisateur, ajouter MFA, remplacer les configurations, puis tester.
Une configuration OpenVPN standard authentifie le fichier, pas la personne. La configuration client contient le certificat et les clés, donc un fichier copié - à partir d'un ancien ordinateur portable, d'une clé USB, d'un e-mail transféré - se connecte exactement comme l'utilisateur réel. Il n'y a pas de mot de passe à changer et aucun moyen de demander « qui était-ce ? » après. Si votre bureau exécute toujours une configuration partagée pour tout le monde, ce fichier est en fait une clé principale de votre réseau local et il a probablement été copié plus de fois que quiconque ne s'en souvient.
Le premier changement dans la vidéo concerne les paramètres du serveur OpenVPN sur le pare-feu : choisissez Authentification par nom d'utilisateur et mot de passe et Enregistrer. A partir de ce moment, un fichier de configuration seul ne suffit plus – le client demande également qui vous êtes. Faites cela avant de créer des utilisateurs uniquement si vous pouvez terminer l'ensemble du travail en une seule fois ; sinon, créez d'abord les utilisateurs (étape suivante) et activez ce commutateur lorsqu'au moins le compte administrateur existe et est testé. La règle est simple : n'activez jamais une exigence de connexion avant que les connexions n'existent.
Ensuite, la vidéo crée la liste des utilisateurs dans le Répertoire local : ouvrez Configurer le répertoire local, ajoutez chaque personne avec son nom, son nom complet et un mot de passe approprié, puis enregistrez. Un compte par être humain – jamais une seule connexion « bureau » partagée par cinq personnes. Les comptes nommés sont ce qui rend possible tout le reste de ce guide : l'authentification MFA est inscrite par compte, l'accès est révoqué par compte et les journaux de connexion ont enfin un sens car chaque ligne porte un vrai nom.
C'est le cœur de la mise à niveau. Pour chaque compte, la vidéo utilise l'option Ajouter une configuration client MFA et l'enregistre ; le serveur propose alors une clé MFA ou un code QR pour cet utilisateur. L'utilisateur scanne le code QR avec une application d'authentification (Google Authenticator, Microsoft Authenticator ou n'importe quelle application TOTP), et à partir de là, chaque connexion a besoin de trois éléments : le fichier de configuration, le nom d'utilisateur et le mot de passe, ainsi que le code à six chiffres du téléphone. Une configuration volée ou un mot de passe divulgué à lui seul ne connecte plus rien. Inscrivez chaque personne avec son propre téléphone présent - le code QR est un secret et ne doit jamais être envoyé sous forme de capture d'écran.
Une fois MFA activé, revenez en arrière et téléchargez le fichier de configuration client pour chaque utilisateur à partir de la même interface, comme le fait la vidéo, et demandez à chaque utilisateur importer la nouvelle configuration dans le client OpenVPN et supprimer l'ancienne. Traitez les nouveaux fichiers comme des clés : remettez-les via un canal de confiance, pas dans une discussion de groupe. La première connexion avec la nouvelle configuration demande le nom d'utilisateur, le mot de passe puis le code temporel unique - si un utilisateur se connecte toujours sans qu'on le lui demande, il utilise une ancienne configuration ou une ancienne session, et cela doit être poursuivi le même jour.
Avant de toucher l'ordinateur portable de tout le monde, testez toute la chaîne avec un seul compte test : connectez-vous, saisissez les identifiants, saisissez le code, ouvrez une application bureautique, déconnectez-vous, reconnectez-vous. Ensuite seulement, déployez-le personne par personne. Conservez la sauvegarde de la configuration du pare-feu avant le changement jusqu'à ce qu'une semaine complète se soit écoulée sans plainte - c'est votre chemin de retour si quelque chose de subtil se brise. La vidéo se termine par une note pratique importante : testez la configuration finale à partir d'un véritable réseau externe (les données mobiles fonctionnent), car un VPN qui ne fonctionne que depuis l'intérieur du bureau ne prouve rien.
Chaque clic affiché en direct : paramètres d'authentification, utilisateurs de l'annuaire local, code QR MFA et première connexion avec un code à usage unique.
▶️ Watch Full VideoSur l'OpenVPN basé sur un pare-feu présenté dans la vidéo, l'option de vérification en deux étapes est intégrée aux paramètres du serveur : vous l'activez par compte utilisateur et vous vous inscrivez avec une application d'authentification gratuite. Aucun produit MFA distinct n’est acheté dans la vidéo.
Trois choses, dans l'ordre : ils ouvrent la connexion avec leur configuration client, saisissent leur nom d'utilisateur et leur mot de passe, puis saisissent le code unique à six chiffres affiché dans leur application d'authentification. Le code change toutes les 30 secondes.
Vous pouvez conserver le fichier, mais le partage d'un compte annule la mise à niveau. L'authentification multifacteur et la révocation ne fonctionnent que lorsque chaque personne possède son propre compte nommé. Créez donc d'abord un compte d'annuaire local par personne, exactement comme le montre la vidéo.