Votre pare-feu peut également servir de serveur VPN : pas de boîtier supplémentaire, pas de licence logicielle supplémentaire. Ce guide suit l'ordre exact de la vidéo : installez l'application OpenVPN, confirmez l'adresse que les clients composeront, créez un client par personne, importez le fichier de configuration et résolvez le problème que presque tout le monde rencontre lors de la première connexion.
Une note de nom avant de commencer : Untangle s'appelle désormais Arista Edge Threat Management (ETM) NG Firewall – Arista a acquis Untangle en 2022 et a renommé le produit, mais les écrans de ce guide sont les mêmes que ceux que vous voyez dans la vidéo. La meilleure partie n'a pas changé non plus : l'application OpenVPN fait partie des applications principales gratuites, tandis que les applications VPN WireGuard et IPsec se trouvent derrière un abonnement. Ainsi, la configuration ci-dessous ne coûte rien au-delà du pare-feu que vous exécutez déjà. Suivez les étapes dans l’ordre : la plupart des configurations VPN qui échouent sont simplement des étapes effectuées dans le mauvais ordre.
Connectez-vous à l'interface Web du pare-feu depuis un navigateur, exactement au début de la vidéo. Ensuite :
C'est toute l'installation du serveur. Tout ce qui suit n'est que configuration, et c'est dans la configuration que se concentrent les soins.
Chaque fichier de configuration client Untangle génère des points à une adresse de serveur. Si cette adresse est fausse, rien d’autre n’a d’importance. Dans la vidéo, cela est vérifié sous Configurer → Réseau, où l'IP publique statique du pare-feu est vérifiée — une IP statique est la base la plus propre car l'adresse intégrée dans chaque fichier de configuration ne change jamais.
La même adresse se trouve sous Config → Administration → Adresse publique, et c'est la valeur utilisée lorsque les configurations client sont générées, alors confirmez qu'elle est correcte et accessible depuis Internet. Pas d'adresse IP statique de votre FAI ? Configurez le DNS dynamique intégré (Configuration → Réseau → DNS dynamique) et utilisez plutôt ce nom d'hôte comme adresse publique : un nom peut suivre une adresse IP changeante, un numéro codé en dur ne le peut pas. Un avertissement : si votre pare-feu se trouve derrière un autre routeur, ce routeur doit transmettre le port UDP 1194 au pare-feu, sinon les clients frapperont à une porte que personne n'ouvre.
Ouvrez l'application OpenVPN et accédez à Serveur → Clients distants, puis ajoutez un client pour chaque personne et appareil : ramesh-laptop, priya-phone, et ainsi de suite. Chaque client obtient son propre certificat dans son propre fichier de configuration, ce qui rend la révocation propre plus tard : lorsque quelqu'un part, vous supprimez son client et seul son accès meurt.
Lors de la création de clients, vous attribuerez chacun d'entre eux à un Groupe (Serveur → Groupes). Le groupe décide des comportements importants, notamment le Full Tunnel et le Push DNS. Le groupe par défaut convient pour une première configuration ; L'étape 5 montre pourquoi le groupe compte plus qu'il n'y paraît.
Dans la liste Clients distants, téléchargez le fichier de configuration client (le fichier .ovpn) pour l'utilisateur que vous venez de créer. Sur l'ordinateur portable ou le téléphone, installez l'application officielle OpenVPN Connect, importez ce fichier et connectez-vous : c'est exactement la séquence présentée dans la vidéo.
Traitez ce fichier avec respect dès maintenant : il contient l'adresse du serveur ainsi que le certificat et la clé privée du client. Celui qui détient le fichier détient l'accès. Remettez-le de la même manière que vous remettriez une clé de bureau, et non de la même manière que vous transférez un mème.
C'est le problème sur lequel la vidéo passe sa seconde moitié, et c'est la plainte OpenVPN la plus courante le premier jour : le client dit Connecté, pourtant la machine ne se comporte pas comme si elle était réellement sur le réseau du bureau - les adresses et le routage ne sont pas ce qu'ils devraient être. Le correctif présenté dans la vidéo :
Le retéléchargement n’est pas une décoration facultative. Le comportement du tunnel est écrit dans la configuration générée, de sorte qu'un changement de groupe n'atteint un ordinateur portable que lorsqu'une nouvelle configuration le fait - la propre documentation d'Arista dit la même chose : après avoir modifié un groupe, retéléchargez et redéployez la configuration client. Que Full Tunnel convienne à tous les membres de votre équipe est une vraie décision avec des coûts réels, et il a sa propre page honnête dans cette série – mais en tant que première configuration de travail, c'est la voie que la vidéo prouve de bout en bout.
Ne déclarez jamais la victoire depuis un ordinateur portable connecté au Wi-Fi du bureau : ce chemin peut réussir même lorsque le véritable chemin Internet est interrompu. Connectez-vous via un point d'accès téléphonique ou tout autre réseau véritablement extérieur, puis vérifiez trois choses : le client affiche Connecté avec une adresse du pool VPN, un ping vers une adresse de bureau exportée répond (commencez par l'adresse IP LAN du pare-feu) et une ressource réelle - un dossier partagé, Tally, une page d'imprimante - s'ouvre réellement. Sur le pare-feu, l'onglet Statut d'OpenVPN devrait afficher votre session en direct. Si le tunnel est actif mais que rien à l'intérieur ne s'ouvre, le suspect habituel est la liste Réseaux exportés sous l'onglet Serveur : les clients ne peuvent accéder qu'aux réseaux vers lesquels le pare-feu a été invité à les exporter.
Regardez d'abord la vidéo si un écran diffère de votre version : l'installation complète, la création du client et le correctif Full Tunnel sont tous affichés en direct.
▶️ Watch Full VideoOui. OpenVPN est l'une des applications principales gratuites de NG Firewall, y compris les profils de serveur et de client par utilisateur. Les applications VPN par abonnement de ce produit sont WireGuard et IPsec. Un petit bureau peut exécuter l’ensemble de sa configuration d’accès à distance sur l’application gratuite OpenVPN.
C'est l'option la plus simple et c'est celle qu'utilise la vidéo. Sans cela, utilisez le service DNS dynamique intégré et placez ce nom d'hôte dans Configuration, Administration, Adresse publique, afin que les fichiers de configuration générés portent un nom qui suit votre adresse IP changeante au lieu d'un numéro qui devient obsolète.
Travaillez dans cet ordre. Tout d’abord, vérifiez que le réseau cible est répertorié sous Réseaux exportés dans les paramètres du serveur OpenVPN. Deuxièmement, si vous avez modifié un paramètre de groupe, comme Full Tunnel, téléchargez et importez un nouveau fichier de configuration, car l'ancien fichier conserve l'ancien comportement. Troisièmement, testez par adresse IP ; si l'IP fonctionne mais que les noms échouent, c'est DNS, et Push DNS dans le groupe est la solution.