Créer un tunnel VPN site à site (S2S) via PPTP/L2TP sous Windows Server 2022, 2016 et 2012

6.3. Créer les tunnels VPN et configurer le routage entre vos sites physiques (Bruxelles et Paris)

6.3.1. Créer le tunnel VPN entre le site 1 (Bruxelles) et le site 2 (Paris)

Sur le serveur VPN du site 1 (Bruxelles), allez dans la section "Interfaces réseau" et faites un clic droit "Nouvelle interface de connexion à la demande" dans la partie droite.

Comme nom d'interface, indiquer le nom du site distant (par exemple) que vous souhaitez joindre.
Dans notre cas, nous avons donc indiqué simplement "paris".

Ce qui indique que cette connexion à la demande vous permettra d'accéder au réseau du site 2 (Paris) depuis le réseau local du site 1 (Bruxelles).

Attention : un tunnel VPN devra aussi être créé sur le serveur VPN distant pour que l'inverse soit aussi possible.
Mais vous verrez ça dans la suite de ce tutoriel.

Pour le type de connexion, sélectionnez "Se connecter en utilisant un réseau privé virtuel (VPN)".

Pour le type de réseau privé virtuel (VPN), sélectionnez "Protocole PPTP (Point to Point Tunneling Protocol)" dans un 1er temps, car il est plus simple et plus rapide à configurer.

A l'étape "Adresse de destination", Windows Server vous demande d'indiquer l'adresse IP du routeur auquel vous souhaitez vous connecter.

Attention : il s'agit en réalité de l'adresse publique du site distant (site 2 (Paris) dans ce cas-ci).
Néanmoins, ayant effectué nos tests localement grâce à plusieurs switchs, nous avons simplement indiqué l'adresse IP de l'interface WAN de notre serveur VPN distant "paris-vpn".
Dans la réalité, vous devrez indiquer ici l'adresse IP publique (fournie par le FAI) du site distant (site 2 (Paris)) et avoir redirigé correctement les ports VPN dans la Box (routeur) du site distant.
La Box du site distant se trouvant entre Internet et l'interface WAN de votre serveur VPN distant.

Pour connaitre les ports à rediriger dans la Box du site distant, référez-vous à l'étape "2. Configuration des pare-feu matériels" de ce tutoriel.

A l'étape "Protocoles et sécurité", cochez uniquement la case "Router les paquets IP sur cette interface".

Pour le routage des paquets réseau puisse être faits correctement entre votre réseau local et le (ou les) réseau du site distant, une étape "Itinéraires statiques pour les réseaux distants" vous permet de spécifier quels IDs réseau sont disponibles sur le site distant.
Pour cela, cliquez sur "Ajouter".

Indiquez l'ID réseau utilisé sur le site distant (site 2 (Paris) dans ce cas-ci).

Donc, nous indiquons :

• Destination : 10.0.2.0.
• Masque de sous-réseau : 255.255.255.0.
• Métrique : 1.

Le métrique correspond en théorie (car ce n'est pas obligatoire) au nombre de routeurs présents entre le serveur et le réseau de destination.
Si Windows trouve plusieurs itinéraires statiques pour un même réseau de destination, il utilisera celui qui possède le métrique le plus faible, car il s'agira du chemin qui devrait être le plus rapide.
Dans notre cas, il n'y en aura qu'un, donc indiquez simplement le chiffre "1".

Source : Create a Static Route | Microsoft Learn.

L'itinéraire statique créé apparait.
Cliquez sur "Suivant".

Note : si plusieurs IDs réseau sont utilisés sur le site distant, ajoutez un itinéraire statique supplémentaire par ID réseau du site distant.

A l'étape "Informations d'identification des appels sortants", indiquez les identifiants du compte d'utilisateur créé précédemment sur le site distant (à l'étape "4.2. Créer un utilisateur sur le site 2 (Paris) pour que le site 1 (Bruxelles) puisse se connecter au serveur VPN du site 2 (Paris)" de ce tutoriel).

Dans ce cas-ci, il s'agit donc de l'utilisateur "bruxuser" qui se connecte au serveur "paris-vpn".

Note : étant donné le serveur VPN du site distant (site 2 (Paris)) se trouve dans un groupe de travail (workgroup) et qu'il s'agit donc d'un compte d'utilisateur local, il suffit de laisser la case "Domaine" vide.

Cliquez sur "Terminer".

Dans la section "Interface réseau" du serveur VPN "BRUX-VPN" du site 1 (Bruxelles), vous verrez qu'une connexion à la demande "paris" a été créée (pour que vous puissiez accéder aux ressources du site 2 (Paris) depuis votre site 1 (Bruxelles)).

Faites un double clic sur cette connexion à la demande "paris".

Ensuite, allez dans l'onglet "Options" et vous verrez que par défaut, il s'agit d'une connexion à la demande.
Or, pour que le tunnel VPN reste établi entre vos 2 serveurs VPN (pour créer un lien "site à site"), il est fortement recommandé de configurer cette connexion à la demande pour qu'elle reste connectée en permanence.
Pour cela, sélectionnez le type de connexion "Connexion permanente".

Ensuite, allez dans l'onglet "Sécurité" et vous verrez que le type de réseau VPN utilisé est "Protocole PPTP (Point to Point Tunneling Protocol)" comme vous l'avez choisi lors de la création de la connexion à la demande.

Dans la section "IPv4 -> Itinéraires statiques", vous verrez que l'itinéraire statique (spécifié lors de la création de la connexion à la demande) apparait et que votre serveur sait que l'ID réseau "10.0.2.0" (qui est celui utilisé sur le site 2 (Paris)) sera accessible via l'interface "paris" (le nom de la connexion à la demande que vous venez de créer).

6.3.2. Configurer le routage entre le site 1 (Bruxelles) et le site 2 (Paris)

Même si votre serveur sait qu'il peut accéder au réseau distant (dans notre cas : 10.0.2.0) via la connexion à la demande "paris" que vous venez de créer, cela n'est pas suffisant pour que le routage des paquets réseau fonctionne correctement.
En fait, il faut aussi que la fonction "routeur" de votre serveur ait connaissance de ce nouveau réseau pour effectuer le routage correctement.

Pour régler ce problème de routage entre votre réseau local et le réseau du site distant (Paris dans ce cas-ci), vous devez aller dans la section "IPv4 -> NAT" et faire un clic droit "Nouvelle interface" (dans la partie droite).

Dans la fenêtre "Nouvelle interface pour IPNAT" qui s'affiche, sélectionnez l'interface "paris" (dont le nom correspond à la connexion à la demande que vous venez de créer sur ce serveur VPN) et cliquez sur OK.

Sélectionnez simplement l'option "Interface privée connectée au réseau privé" et cliquez sur OK.

L'interface de connexion à la demande apparait maintenant dans la section "IPv4 -> NAT" de votre serveur.
Ce qui permet à votre serveur de router vos paquets réseau entre ces 3 réseaux :

• WAN : Internet.
• LAN : le réseau local.
• paris : la communication entre votre site local (Bruxelles) et le site distant (Paris).

Note : oui, un routeur peut router des paquets entre plusieurs réseaux et non seulement entre le réseau local (LAN) et Internet (WAN) comme c'est le cas habituellement chez vous.

Faites un clic droit sur le nom de votre serveur et cliquez sur "Toutes les tâches -> Redémarrer".

Patientez pendant le redémarrage du service de routage et d'accès distant sur BRUX-VPN.