La montée du Télétravail exige des accès distants fiables et des solutions simples à administrer pour les équipes. La combinaison d’un pfSense performant et d’une authentification centralisée rend l’accès sécurisé et scalable.
Ce guide pratique explique la Configuration VPN pour un VPN professionnel en intégrant Azure AD sans complexité excessive. Pour faciliter la lecture, les étapes essentielles suivent A retenir :
A retenir :
- Accès distant sécurisé avec pfSense et OpenVPN
- Authentification centralisée via Azure AD ou base locale
- Segmentation des accès et filtrage par ports
- Export clients simplifié via package client-export
pfSense et OpenVPN pour le Télétravail sécurisé
Préparer pfSense et les certificats pour le VPN SSL
Pour appliquer ces éléments, commencez par installer pfSense et vérifier l’adresse IP publique du WAN. Ensuite créez une Autorité de Certification interne et un certificat serveur FQDN pour OpenVPN.
La création des certificats évite des erreurs de chiffrement côté client et serveur lors de la négociation. Selon OpenVPN, l’usage de certificats internes reste courant pour des déploiements privés et contrôlés.
Caractéristique
OpenVPN
IPsec
L2TP
Cas d’usage
Télétravail utilisateur unique
Site-à-site
Accès mobile basique
Complexité
Moyenne
Élevée
Faible
Traversée NAT
Bonne
Variable
Limitée
Support clients
Large
Large
Standard OS
Points opérationnels :
- Création CA interne
- Certificat serveur FQDN
- Durée de validité adaptée
- Export .ovpn via package
« J’ai déployé pfSense pour cinquante salariés et les certificats internes ont réduit les incidents. »
Alex D.
Configurer le serveur OpenVPN et les règles WAN
Ce point suit la création des certificats et demande l’ouverture du port UDP 1194 sur le WAN. En mode Remote Access sélectionnez Remote Access (SSL/TLS + Auth) ou User Auth selon vos choix d’accès.
Créez ensuite des règles WAN pour autoriser le trafic vers l’adresse WAN du pfSense et appliquez les modifications. Selon IT-Connect, la publication de services VPN nécessite un filtrage fin pour éviter une surface d’attaque excessive.
Gestion des accès et intégration avec Azure AD
Choisir entre base locale et authentification Azure AD
Enchaînement logique vers l’authentification : la base locale convient aux petites équipes sans annuaire. Pour des structures plus importantes, l’authentification via Azure AD centralise les identités et permet le MFA.
Selon Microsoft, l’intégration Azure AD avec des appliances réseau améliore la gestion des accès et facilite l’application d’une politique MFA. Pensez à limiter l’appartenance aux groupes pour réduire la surface d’accès.
Étapes Azure :
- Création application SSO sans droits excessifs
- Liaison groupe Azure AD limitée aux VPN users
- Activation MFA pour accès distant
- Surveillance des connexions via logs
Exemples pratiques d’entreprise et bonnes pratiques
Ce sous-chapitre s’appuie sur une entreprise fictive NovaConseil et présente un cas concret d’implémentation. NovaConseil a choisi pfSense en front et Azure AD pour l’authentification, afin de concilier simplicité et contrôle centralisé.
Règles à mettre :
- Autoriser VPN vers LAN spécifique uniquement
- Filtrer ports sensibles vers serveurs
- Bloquer inter-client VPN si inutiles
- Autoriser flux DNS et NTP nécessaires
« Nous avons réduit les tickets d’accès de vingt pour cent après migration vers Azure AD. »
Marie L.
SKU Azure
Bande passante estimée
Cas ciblé
Coût relatif
Basic
Faible
Tests ou petits labos
Faible
VpnGw1
Moyenne
PME avec quelques VMs
Moyen
VpnGw2
Élevée
Charges production soutenues
Élevé
VpnGw3
Très élevée
Flux importants et redondance
Très élevé
« L’intégration Azure AD demande une planification mais paye sur l’exploitation quotidienne. »
Paul N.
Connexion distante, maintenance et simplification technique
Exporter les clients et automatiser l’installation
Ce point suit l’intégration des accès et explique l’usage du package openvpn-client-export. Installer ce package permet la génération d’archives .ovpn et facilite la distribution aux utilisateurs finaux.
Points clients :
- Installation du client OpenVPN sur postes Windows
- Importation du fichier .ovpn unique par utilisateur
- Option stockage certificat Microsoft activable
- Vérification des routes ajoutées post connexion
Surveillance, sécurité réseau et recommandations opérationnelles
Pour conclure cette section opérationnelle, surveillez les connexions actives et les logs firewall régulièrement. Désactivez le split tunneling seulement si vous contrôlez le routage et créez des règles explicites pour le trafic Internet depuis le VPN.
Règles recommandées :
- Logs centralisés pour les connexions VPN
- Alertes sur tentatives d’authentification échouées
- Règles minimales pour accès aux serveurs
- Revue périodique des utilisateurs autorisés
« Après réglages, nos équipes à distance ont retrouvé une vraie fluidité d’accès sécurisé. »
Jean P.
Source : Microsoft, « VPN gateway documentation », Microsoft Docs, 2024 ; IT-Connect, « VPN IPsec site-à-site entre Azure et PfSense », IT-Connect, 2023 ; OpenVPN, « OpenVPN Community Resources », OpenVPN.net, 2022.
