Ajouter un site à une infrastructure VPN site à site (S2S) via PPTP/L2TP sous Windows Server 2022

6. Configurer le routage et l'accès à distance avec les tunnels VPN requis

6.1. Configurer le routage et l'accès à distance (VPN) sur le site 3 (Nice)

6.1.1. Configuration initiale du routage et de l'accès à distance (VPN) sur le site 3 (Nice)

Une fois le rôle "Accès à distance" installé, cliquez sur le lien "Ouvrir l'Assistant Mise en route" qui s'affichera.

Dans la fenêtre "Configuration de l'accès distant" qui s'affiche, cliquez sur "Déployer VPN uniquement".

Dans la console "Routage et accès distant" qui s'affiche, faites un clic droit "Configurer et activer le routage et l'accès à distance" sur le nom de votre serveur VPN (dans notre cas "NICE-VPN").

Dans l'assistant de configuration qui s'affiche, sélectionnez "Configuration personnalisée".

Puis, cochez les cases "Accès VPN" et "NAT".

Cliquez sur "Terminer".

Cliquez sur "Démarrer le service".

Patientez un peu pendant le démarrage du service "Routage et accès distant".

Comme vous pouvez le voir, des options VPN, ainsi que l'option de routage (NAT) apparaissent dans la console "Routage et accès distant".

6.1.2. Définir la plage d'adresses IP à assigner aux clients du serveur VPN du site 3 (Nice)

Maintenant que la configuration initiale est effectuée, vous devez définir une plage d'adresses IP qui seront attribuées aux clients (donc les serveurs VPN de vos autres sites physiques) qui se connecteront à ce serveur VPN ("NICE-VPN" dans notre cas).
Pour cela, faites un clic droit "Propriétés" sur le nom de votre serveur VPN.

Dans l'onglet "IPv4", sélectionnez l'option "Pool d'adresses statique" et cliquez sur "Ajouter".

Définissez une plage d'adresses IP dont le sous-réseau est différent de celui utilisé sur le réseau LAN de vos autres sites physiques et différents également des sous-réseaux utilisés sur les autres serveurs VPN.

Dans notre cas, nous utilisons :

• l'ID réseau "10.0.1.0" pour le réseau LAN du site 1 (Bruxelles).
• l'ID réseau "10.0.2.0" pour le réseau LAN du site 2 (Paris).
• l'ID réseau "10.0.3.0" pour le réseau LAN du site 3 (Nice).
• l'ID réseau "10.0.11.0" pour les clients du serveur VPN sur le site 1 (Bruxelles).
• l'ID réseau "10.0.12.0" pour les clients du serveur VPN sur le site 2 (Paris).
• l'ID réseau "10.0.13.0" pour les clients du serveur VPN sur le site 3 (Nice).

Donc, dans la fenêtre "Nouvelle plage d'adresse IPv4" (sur notre serveur VPN "NICE-VPN"), nous indiquons ceci :

• Adresse IP de début : 10.0.13.1.
• Adresse IP de fin : 10.0.13.10.
• Nombre d'adresses : 10.

Attention : l'ID réseau utilisé ici doit être différent de ceux utilisés sur vos autres sites. Sinon, le routage des paquets ne fonctionnera pas correctement.
De plus, 2 adresses IP (une IP locale et une IP distante) sont utilisées pour chaque tunnel VPN (comme expliqué précédemment à l'étape "6.1.2. Définir la plage d'adresses IP à assigner aux clients du serveur VPN du site 1 (Bruxelles)" de notre précédent tutoriel).

La plage d'adresses IP souhaitée apparait dans la liste.
Cliquez sur OK.

Maintenant, faites un clic droit "Toutes les tâches -> Redémarrer" sur le nom de votre serveur VPN.

Patientez pendant le redémarrage du service d'accès à distance de ce serveur VPN.

6.1.3. Activer le support du protocole VPN L2TP (serveur et client)

Pour que vos autres serveurs VPN puissent se connecter via le protocole L2TP à ce serveur, mais aussi pour que ce serveur puisse se connecter en tant que client aux serveurs VPN de vos autres sites physiques, vous devez faire un clic droit "Propriétés" sur le nom du serveur VPN du site 3 (Nice).

Dans l'onglet "Sécurité", vous pouvez voir que, par défaut, la case "Autoriser la stratégie IPsec ..." est décochée.

Pour que votre serveur VPN puisse utiliser le protocole VPN "L2TP" (en tant que serveur, mais aussi en tant que client), il est nécessaire que la case "Autoriser la stratégie IPsec personnalisée pour les connexions L2TP/IPsec" soit cochée.
Une fois la case cochée, tapez une clé prépartagée et notez celle-ci quelque part.
En effet, vous en aurez besoin un peu plus tard dans ce tutoriel lorsque vous configurerez les connexions à la demande "nice" sur les serveurs VPN de vos autres sites physiques (Bruxelles et Paris dans notre cas).

Cliquez sur OK.

Lorsque vous cochez la case "Autoriser la stratégie IPsec personnalisée pour les connexions L2TP/IPsec", un avertissement s'affiche lorsque vous cliquez sur OK et Windows Server vous demande de redémarrer le service "Routage et accès à distance" pour que cette nouvelle stratégie "L2TP/IKEv2" soit utilisée.

Plain Text

Pour activer une stratégie L2TP/IKEv2 personnalisée pour des connexions L2TP, vous devez redémarrer Routage et accès à distance.

Si vous ouvrez un invite de commandes et que vous tapez la commande ci-dessous, vous verrez qu'aucun résultat s'affiche pour le moment.

Batch

netstat -aon | find "1701"

Faites un clic droit sur le nom de votre serveur VPN (dans notre cas "NICE-VPN") et cliquez sur "Toutes les tâches -> Redémarrer".

Le service de routage et d'accès à distance redémarre.

Maintenant, si vous exécutez la même commande, vous verrez que le port "UDP 1701" est utilisé (ce qui correspond à un port utilisé par le protocole VPN "L2TP").
Autrement dit, maintenant, votre serveur agit en tant que serveur VPN (notamment pour le protocole L2TP).
De plus, il est nécessaire que ce port soit utilisé par votre serveur VPN pour que votre serveur VPN puisse aussi se connecter à d'autres serveurs VPN en utilisant le protocole VPN "L2TP" en tant que client.