VPN IPsec — le concept

Page concept

Cette page explique les grands principes d’IPsec — de quoi parler avant de cliquer dans un pare-feu. La mise en œuvre pas à pas est dans le TP2 — Accès distant. Les ressources en fin de page sont votre point de départ pour aller plus loin par vous-même.

Le concept en une phrase

IPsec est une suite de protocoles qui authentifie et chiffre le trafic IP entre deux points, pour bâtir un tunnel sûr par-dessus un réseau qui ne l’est pas.

Deux bases australes reliées par un lien satellite public ne peuvent pas s’échanger des données en clair : n’importe qui sur le chemin les lirait. IPsec transforme ce lien hostile en tunnel privé — comme si les deux réseaux étaient directement câblés, alors qu’ils sont séparés par des milliers de kilomètres et un Internet qu’on ne maîtrise pas.

---

Les grands principes

1. Deux phases — d’abord comment, ensuite quoi

C’est le cœur d’IPsec, et le modèle mental à retenir. La négociation (protocole IKE, Internet Key Exchange) se fait en deux temps :

sequenceDiagram
  participant A as Pare-feu A
  participant B as Pare-feu B
  Note over A,B: Phase 1 — on ouvre un canal de négociation sécurisé
  A->>B: Propositions (chiffrement, hachage, groupe DH) + preuve d'identité
  B->>A: Accord + échange Diffie-Hellman
  Note over A,B: secret partagé calculé, jamais transmis sur le réseau
  Note over A,B: Phase 2 — quel trafic passe dans le tunnel
  A->>B: Mon réseau ⟷ ton réseau, protégés par ESP
  B->>A: Accord
  Note over A,B: Tunnel établi — le trafic circule chiffré

• Phase 1 — les deux extrémités s’authentifient et ouvrent un canal de gestion chiffré. Le tour de force : par un échange Diffie-Hellman, elles calculent un secret commun sans jamais l’envoyer sur le réseau.
• Phase 2 — par-dessus ce canal, elles décident quel trafic protéger (quel réseau parle à quel réseau) et comment le chiffrer.

Séparer les deux permet de renégocier régulièrement les clés des données (Phase 2) sans refaire toute l’authentification (Phase 1).

2. ESP — ce qui chiffre vraiment

IPsec propose deux « protecteurs » de paquets. Dans la quasi-totalité des cas, on utilise ESP.

	Chiffre le contenu ?	Garantit l’intégrité ?	Usage
ESP (Encapsulating Security Payload)	✅	✅	le standard — confidentialité + intégrité
AH (Authentication Header)	❌	✅	rare — intégrité seule, incompatible NAT

Retenez : ESP = le trafic devient illisible sur le fil. C’est ce qu’on vérifie au tcpdump — on voit de l’ESP, pas les données.

3. Mode tunnel — pour relier deux réseaux

IPsec a deux modes. Pour relier deux sites (deux bases), c’est le mode tunnel : le paquet IP d’origine est entièrement encapsulé dans un nouveau paquet chiffré entre les deux pare-feu. Les machines des deux LAN communiquent sans rien savoir du tunnel — ce sont les pare-feu qui font tout le travail.

(Le mode transport, lui, protège une communication directe entre deux hôtes ; on l’utilise peu en site-à-site.)

4. La règle d’or — les deux côtés doivent correspondre

IPsec est symétrique. Un tunnel qui ne monte pas, c’est presque toujours une divergence entre les deux extrémités :

Doit correspondre	Sinon
Les propositions (chiffrement, hachage, groupe DH, secret)	Phase 1 échoue — « no proposal chosen »
Les réseaux en miroir (mon local = ton distant)	Phase 2 échoue, ou le trafic part dans le vide
Les subnets ne se chevauchent pas	Le tunnel monte, mais rien ne route

C’est la difficulté réelle d’IPsec : non pas la config d’un côté, mais l’accord entre les deux.

5. Prouver son identité — secret partagé ou certificats

Avant de chiffrer, chaque extrémité doit prouver qu’elle est bien qui elle prétend :

• Clé pré-partagée (PSK) — un secret commun aux deux, saisi de part et d’autre. Simple, parfait pour deux sites. Ne passe pas à l’échelle (chaque paire de sites = un secret).
• Certificats (PKI) — chaque extrémité présente un certificat signé par une autorité de confiance. Plus lourd à mettre en place, mais tient à grande échelle.

6. NAT-T — survivre au NAT

Le chiffrement ESP ne traverse pas nativement un routeur qui fait du NAT. IPsec détecte ce cas et encapsule l’ESP dans de l’UDP (port 4500) — c’est le NAT-Traversal. Utile à savoir : c’est pour ça qu’on ouvre à la fois UDP 500 (négociation) et UDP 4500 (NAT-T) sur le pare-feu.

---

Où ça intervient dans TAAF

• TP2 — Accès distant : VPN IPsec — les ingénieurs montent un tunnel site-à-site entre deux bases, remplissent la fiche d’interconnexion, et prouvent au tcpdump que ça chiffre. Toute cette page y devient pratique.
• Segmentation & micro-segmentation — le tunnel relie deux SI déjà cloisonnés : IPsec transporte, la segmentation décide qui a le droit de parler à qui à l’arrivée.
• Contrainte satellite — le lien austral est lent et intermittent ; IPsec chiffre sans l’alourdir notablement, mais le tunnel doit tolérer les coupures (renégociation).

---

Ressources associées

Ces liens sont des points de départ pour vos propres recherches. Croisez-les : une vidéo pour l’intuition, un guide ANSSI pour la rigueur, la RFC pour la vérité.

Comprendre (intuition)

• Practical Networking — série VPN/IPsec (practicalnetworking.net) : l’explication visuelle de référence des deux phases et d’ESP (en anglais, très clair).
• Xavki — réseau & sécurité (chaîne YouTube) : tutoriels en français, du concept à la pratique.
• Blog de Stéphane Robert (blog.stephane-robert.info) : la référence francophone infra/réseau/sécurité.

Faire (mise en œuvre)

• Documentation OPNsense — IPsec (docs.opnsense.org) : la config côté pare-feu du TP2.

Approfondir (rigueur & normes)

• ANSSI — recommandations relatives à IPsec (cyber.gouv.fr) : les choix d’algorithmes et de paramètres pour un IPsec robuste (cherchez « IPsec » dans les publications).
• RFC 7296 — IKEv2 (datatracker.ietf.org) : la spécification, pour qui veut la source.

À chercher par vous-même : « IPsec Phase 1 Phase 2 », « ESP vs AH », « IKEv2 vs IKEv1 », « Perfect Forward Secrecy », « NAT-Traversal IPsec ».