Si l'on entend régulièrement parler de VPN, il n'est souvent question que de certaines solutions en particulier : les applications clé en main vendues sous la forme d'un abonnement. Vous sélectionnez un pays, un serveur et vous y êtes connectés en un clic. Mais en pratique, comment ça marche ?
Dans un précédent article, nous avons évoqué les réseaux privés virtuels dans leur théorie. Car avant d'aller plus loin sur ce sujet, il était nécessaire d'en revenir aux bases et de se détacher du marketing de certains services commerciaux qui ont le vent en poupe. Ne serait-ce que pour rappeler à quoi sert réellement un VPN.
Mais tout cela peut paraître nébuleux, et il s'agit d'un sujet où la pratique vaut mieux que des centaines de mots. Voici donc un petit guide où nous vous expliquerons comment mettre en œuvre votre propre VPN en quelques minutes à travers un serveur distant, mais aussi un NAS connecté à votre box.
Nous reviendrons sur d'autres types de solutions, plus spécifiques et plus complexes dans de prochains articles.
Notre dossier sur les réseaux privés virtuels :
- Un VPN, à quoi ça sert ?
- Le réseau privé virtuel (VPN) par l'exemple
- Comment les entreprises mettent en oeuvre les VPN (à venir)
Déployer un serveur OpenVPN en quelques clics
Il existe de nombreuses solutions pour mettre rapidement en place un serveur VPN sur votre propre machine. Nous avons par exemple évoqué le cas d'AlgoVPN pour le protocole Wireguard.
À mi-chemin entre les scripts où il faut encore tout faire et la solution clé en main par abonnement, il existe des solutions intermédiaires. Certains hébergeurs proposent en effet de déployer rapidement un serveur reposant sur OpenVPN. C'est notamment le cas du français Scaleway avec ses InstantApps. OVHcloud fait de même.
Il s'agit d'images prêtes à l'emploi que l'on peut utiliser lors de la création d'une instance. Elle est maintenue à travers un dépôt open source diffusé sur GitHub sous licence MIT. Le déploiement passe par la console de gestion, où il faut sélectionner l'image OpenVPN dans InstantApps. Ce lien vous y mènera directement.
Sélectionnez ensuite un type d'instance (DEV1-S dans notre cas) et autres paramètres :
L'instance sera alors créée et OpenVPN installé. Vous pourrez alors y accéder via un terminal et SSH. La première chose à faire est de mettre à jour le système, de créer un utilisateur via l'outil de scaleaway :
sudo apt update && sudo apt full-upgrade -y && sudo apt autoremove -y
scw-ovpn create nom_utilisateur
Vous pouvez ensuite demander le statut du serveur OpenVPN :
scw-ovpn status
Et... c'est tout. Il vous faut maintenant récupérer le fichier de configuration pour accéder à OpenVPN depuis un client sur votre ordinateur ou un appareil mobile. Pour cela tapez la commande suivante :
scw-ovpn serve nom_utilisateur
Cela démarrera un serveur HTTP vous permettant de récupérer le fichier. Attention, le transfert ne se fera pas via un flux sécurisé (HTTPS). D'autres méthodes sont disponibles et détaillées dans la documentation. Pour cesser le partage utilisez la combinaison de touches CTRL+C.
Vous récupérez un fichier nommé nom_utilisateur.ovpn. Téléchargez un client compatible avec OpenVPN et placez-y le fichier de configuration. Vous passerez alors à travers le serveur de Scaleway pour accéder à internet, comme vous le feriez avec un service clé en main. Vous pouvez maintenant utiliser cette instance quand bon vous semble. Pensez tout de même à la mettre à jour régulièrement et pourquoi pas fouiller la configuration d'OpenVPN.
Pour vérifier que cela fonctionne, il suffit d'utiliser un service détaillant votre IP en ligne.
Un serveur VPN depuis chez vous, avec un NAS
Mais comme nous l'avons vu dans notre précédent article, un VPN sert surtout à accéder à un réseau local à distance. Imaginons donc que vous vouliez pouvoir accéder au vôtre même quand vous n'êtes pas chez vous. Certains FAI, comme Free, proposent une telle fonctionnalité dans leur box.
Ici, nous allons plutôt regarder comment cela se passe avec un appareil qui ne dépend pas de votre FAI : un NAS. Tous les constructeurs proposent une telle fonctionnalité : ASUSTOR, QNAP ou Synology. Nous avons effectué notre essai avec un bon vieux DiskStation 413 qui n'est donc pas de première jeunesse et limité à DSM 6.2.
Là aussi nous utiliserons OpenVPN. Première étape : se rendre dans le centre des paquets et installer VPN Server. Il faut ensuite le lancer, puis aller dans la partie consacrée à OpenVPN. Vous pouvez laisser l’ensemble des paramètres par défaut pour un fonctionnement basique, ou bien les changer en fonctions de vos besoins.
Par exemple en activant IPv6 ou en autorisant l’accès au réseau local selon vos besoins. Pensez dans tous les cas à cliquer sur « Appliquer ». Une alerte vous rappelle d’ouvrir le port 1194 si besoin sur votre box, nous y reviendrons.
La moitié du chemin est déjà faite : votre serveur VPN est en marche et en attente d’une connexion. Pour cela il faut récupérer le fichier de configuration, comme chez Scaleway. Rendez-vous dans la fenêtre de configuration d’OpenVPN dans l'interface puis cliquez sur « Exporter la configuration » (en bas de la page).
Vous récupérez une archive nommée openvpn.zip comprenant trois fichiers :
ca.crt: fichier de certificat pour le serveur VPNVPNConfig.ovpn: fichier de configuration pour le clientREADME.txt: des instructions simples pour la configuration d’OpenVPN
Ouvrez VPNConfig.ovpn avec un éditeur de texte – le bloc-notes par exemple – et remplacez YOUR_SERVER_IP par l’adresse IP publique de votre box (celle attribuée par votre FAI). Vous la trouverez sur ce site.
Dans notre cas c’est « 78.116.xxx.yyy ». Indice : elle ne commence pas par 192.168…, 172.16… ou 10.0… (qui sont des IP de réseau local). Pour que notre ordinateur portable utilise le VPN comme connexion par défaut pour accéder à Internet, il faut également enlever le # devant la ligne redirect-gateway def1.
Enregistrez et fermez l’éditeur de texte. Les fichiers sont prêts à être utilisés sur l'appareil à connecter.
Le résultat final dans notre cas
Ouverture de port sur votre box internet
Par défaut, votre box internet est configurée pour ne pas laisser passer de connexion entrante. Afin que votre serveur VPN soit accessible depuis l'extérieur vous devez donc ouvrir un port et le rediriger vers votre NAS.
Sur notre ligne RED by SFR de test, cela se passe dans le menu Réseau V4 et sur l’onglet NAT. La configuration sera similaire chez d'autres FAI ou via n'importe quel routeur. Indiquez le protocole UDP, le port 1194 en entrée, l’adresse IP locale du NAS (192.168.1.45 dans notre cas), de nouveau le port 1194 en sortie.
Le principe est simplement de rediriger les connexions arrivant depuis Internet sur le port 1194 de la box vers le port 1194 du NAS Synology. Pour des raisons de sécurité, il est fermé par défaut. Dès que cela est terminé, vous devriez être capables de vous connecter à votre serveur VPN maison et donc à votre réseau local.
Installer et configurer OpenVPN sur Windows
Passons à la connexion avec l'exemple d'une machine sous Windows 10. On y installe le client OpenVPN. Une icône en forme d’ordinateur avec un petit cadenas se place alors en bas à droite, dans la zone de notification de Windows.
Effectuez un clic droit, sélectionnez « Importer fichier » et cherchez le fichier de configuration (XXX.opvpn). Validez, c'est terminé. Effectuez un nouveau clic droit sur l’icône d’OpenVPN, et sélectionnez connecter. OpenVPN vous demandera alors de saisir un nom et un mot de passe.
Par défaut, les utilisateurs avec un compte sur le NAS y ont accès (ça peut être le compte admin si besoin). Entrez le nom d’utilisateur et le mot de passe. Chez Scaleway, cette étape n'est pas nécessaire par défaut.
