Créer un tunnel VPN site à site (S2S) via PPTP/L2TP sous Windows Server 2022, 2016 et 2012

10. Changer le protocole VPN pour utiliser le L2TP au lieu du PPTP

10.1. Changer le protocole VPN pour utiliser le L2TP sur le site 1 (Bruxelles)

Pour que vos tunnels VPN soient plus stables et plus sécurisés, vous devriez utiliser le protocole L2TP au lieu du protocole PPTP.
En effet, Microsoft déconseille l'utilisation du protocole PPTP pour son manque de sécurité.
De plus, le protocole L2TP à l'air beaucoup plus stable pour la connexion VPN site à site que le protocole PPTP (en tout cas sous Windows Server).

Bref, pour changer de protocole VPN, c'est plutôt simple sous Windows Server.
Pour commencer, faites un clic droit "Propriétés" sur le serveur VPN "Brux-VPN" du site 1 (Bruxelles).

Source : Comment installer et configurer le service d'accès à distance (RAS) en tant que serveur VPN | Microsoft Learn.

Dans l'onglet "Sécurité", cochez la case "Autoriser la stratégie IPsec personnalisée pour les connexions L2TP/IKEv2" et indiquez un mot de passe complexe (dans notre cas "secret" pour l'exemple) pour la clé prépartagée.

Dans l'onglet "IPv4", la plage d'adresses IPv4 à attribuer à vos clients VPN est déjà configurée (étant donné que vous l'avez déjà fait précédemment).

Cliquez sur OK.

Attention : comme vous pouvez le voir, l'activation d'une stratégie L2TP/IKEv2 personnalisée pour des connexions L2TP nécessite de redémarrer le service "Routage et accès à distance".

Pour que votre serveur VPN "BRUX-VPN" du site 1 (Bruxelles) puisse être accessible via ce nouveau protocole VPN "L2TP", vous devrez modifier la règle de NAT dans la section "IPv4 -> NAT".
Pour cela, faites un clic droit "Propriétés" sur l'interface "WAN" qui s'y trouve.

Dans l'onglet "Services et ports", vous verrez que pour le moment, c'est le service "Passerelle VPN (PPTP)" qui est coché.
Décochez cette case.

Puis, cochez la case "Passerelle VPN (L2TP/IPsec s'exécutant sur ce serveur)".

Dans la fenêtre "Modifier le service" qui s'affiche automatiquement, indiquez "127.0.0.1" comme adresse privée (car comme expliqué précédemment, ce serveur VPN utilisant le protocole L2TP/IPsec se trouve sur le même serveur que le serveur effectuant le routage (NAT)).

Assurez-vous que la case "Passerelle VPN (L2TP/IPsec)" est cochée et que la case "Passerelle VPN (PPTP)" est décochée pour être sûr que seulement le protocole "L2TP/IPsec" sera utilisé.

Dans le pare-feu de ce serveur VPN, assurez-vous que la règle de trafic entrant "Routage et accès distant (L2TP/Entrée)" est activée.

Pour finir, faites un clic droit "Toutes les tâches -> Redémarrer" sur votre serveur VPN "BRUX-VPN" du site 1 (Bruxelles).

10.2. Changer le protocole VPN pour utiliser le L2TP sur le site 2 (Paris)

De façon très similaire à ci-dessus, faites un clic droit "Propriétés" sur votre serveur VPN "PARIS-VPN" du site 2 (Paris).

Dans l'onglet "Sécurité", cochez la case "Autoriser la stratégie IPsec personnalisée pour les connexions L2TP/IKEv2" et indiquez un mot de passe complexe pour la clé prépartagée à utiliser pour sécuriser la connexion VPN.

A nouveau, dans l'onglet "IPv4", vous verrez que la plage d'adresses IP pour les clients VPN est déjà définie.
Cliquez sur OK.

A nouveau, Windows Server vous indique que l'activation de la stratégie L2TP/IKEv2 personnalisée requiert de redémarrer le service "Routage et accès à distance".

A nouveau, sur ce serveur VPN "PARIS-VPN", allez dans la section "IPv4 -> NAT" et faites un clic droit "Propriétés" sur l'interface "WAN" qui s'y trouve déjà.

Dans l'onglet "Services et ports", décochez la case "Passerelle VPN (PPTP)" qui était cochée précédemment, puis cochez la case "Passerelle VPN (L2TP/IPsec - s'exécutant sur ce serveur)".

A nouveau, dans la fenêtre "Modifier le service" qui apparaitra, indiquez l'adresse IP "127.0.0.1" comme adresse privée.

Pour le pare-feu de ce serveur VPN du site 2 (Paris), assurez-vous à nouveau que la règle "Routage et accès distant (L2TP-Entrée)" est activée pour le trafic entrant.

Pour finir, faites un clic droit "Toutes les tâches -> Redémarrer" sur le nom de votre serveur VPN "PARIS-VPN" du site 2 (Paris).