VPN entrant de Windows ou hôte OpenVPN : choisir en cinq minutes

Windows peut accepter une connexion VPN sans rien installer d’autre que le système d’exploitation, et cela aide vraiment quand deux machines que vous possédez ont besoin d’un tunnel pour un après-midi. Il reste utile à peu près aussi longtemps. L’écouteur intégré a un menu de protocoles fixe, aucune politique par client et une dépendance à un poste de travail que quelqu’un peut fermer. Choisir entre lui, un point de terminaison sur le routeur et un hôte OpenVPN se ramène à trois conditions, pas à une préférence.

Ce qu’est vraiment l’écouteur intégré

L’assistant de connexion entrante transforme un poste de travail en un petit point de terminaison d’accès distant. Vous choisissez quels comptes locaux peuvent appeler, comment les adresses sont distribuées et quel protocole est actif : PPTP, plus L2TP/IPsec ou SSTP là où l’édition et le travail sur les certificats les prennent en charge.

Ce qu’il n’est pas, c’est une couche de politique. Il n’y a pas d’attribution de routes par utilisateur, pas de tunnel divisé imposé par le serveur, et pas de séparation entre le tunnel et l’identité réseau propre au poste. Un client qui se connecte atterrit sur le même segment que le poste, sous les règles de pare-feu de ce segment.

C’est ce dernier point qu’il faut peser. Les ports, les partages et le navigateur du poste sont désormais accessibles à quiconque détient le compte, et le compte est un compte Windows local avec tout ce qu’il sait déjà faire.

Trois conditions qui tranchent

Demandez combien de temps l’accès doit durer, combien de personnes en ont besoin et si le réseau peut même acheminer le protocole.

Si la réponse est une machine, une personne et quelques heures sur un réseau où vous contrôlez le routeur, l’écouteur intégré est proportionné. Si l’accès doit survivre aux redémarrages pendant un mois, servir cinq collègues avec des identifiants séparés ou fonctionner depuis un réseau mobile qui ne peut pas recevoir de connexions entrantes, il ne l’est pas. Si le protocole exige le protocole IP 47 plutôt qu’un port, le réseau peut refuser de l’acheminer, quel que soit ce que Windows prend en charge.

Ces trois réponses éliminent l’essentiel du débat en une seule passe. Le reste est un détail de mise en œuvre.

Où un point de terminaison sur le routeur gagne

Un tunnel terminé sur le routeur est la solution naturelle pour un accès permanent. Le routeur est déjà toujours allumé, il peut porter un tunnel de site à site vers un autre bureau, et les clients n’ont rien à installer si le routeur propose le protocole qu’ils utilisent.

La contrainte est le micrologiciel. Les routeurs grand public ne prennent souvent en charge qu’une partie de ce que la spécification autorise, et un modèle qui annonce la prise en charge du VPN peut ne pas inclure exactement celui que vous aviez prévu. Vérifiez la liste des fonctions du micrologiciel installé, pas celle de la famille de produits.

Où un hôte OpenVPN gagne

Un serveur OpenVPN sur une petite machine toujours allumée convient à des clients hétérogènes, à plusieurs utilisateurs avec des identifiants séparés et à des réseaux où un seul port sortant fait la différence entre fonctionner et être bloqué. Il émet un profil par client, tourne sur toutes les grandes plateformes et, côté client, se comporte comme une application sortante ordinaire.

Il demande aussi un propriétaire. Quelqu’un doit renouveler les certificats, appliquer les mises à jour de l’hôte et lire le journal quand un client ne peut pas se connecter. Sans cette personne, un point de terminaison auto-hébergé se dégrade en silence jusqu’au jour où cela compte.

Vérifiez le chemin avant de promettre l’accès

La raison la plus fréquente de l’échec d’un écouteur Windows n’est pas l’authentification. C’est le chemin : PPTP a besoin du TCP 1723 entrant et de GRE, qui est le protocole 47 et non un port, et beaucoup de routeurs ne redirigent que des ports. Certains réseaux d’accès n’autorisent aucune connexion entrante. Ce seul fait écarte l’écouteur intégré sur plus de réseaux que n’importe quel réglage de Windows.

Testez le chemin avant de configurer les comptes, pour qu’un échec ait un seul candidat au lieu de trois :

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Un port fermé à la première ligne est un problème de redirection ou d’opérateur, pas de Windows. La troisième ligne est le contrôle que vous feriez après avoir choisi OpenVPN, où un seul port UDP en écoute remplace toute la question du protocole.

Quelle que soit l’option choisie, ne laissez pas PPTP exposé à internet comme solution durable ; son authentification et son chiffrement sont obsolètes. Et si le vrai besoin est une seule application web, un proxy inverse est une réponse plus petite que n’importe quel VPN.