WireGuard - Configurer un VPN d’accès à distance

Guide complet pour configurer un VPN d’accès à distance WireGuard dans VergeOS, y compris la création d’interface, les règles PAT, la configuration SNAT et la configuration des pairs clients.

Voici des instructions pour configurer un VPN d’accès distant à l’aide des capacités WireGuard intégrées de VergeOS. Vous trouverez plus d’informations dans la section Aide de l’interface utilisateur VergeOS.

Créer la configuration WireGuard sur votre réseau interne

Vous pouvez utiliser un réseau interne existant ou créer un nouveau réseau interne.

Dans l’IU de Verge OS, accédez à Réseaux -> Internes et affichez ou double-cliquez sur le réseau interne que vous souhaitez utiliser.
Dans le menu de gauche, cliquez sur WireGuard (VPN).
Cliquez sur Ajouter une nouvelle interface.
Saisissez les informations suivantes :
- Saisissez un Nom unique pour cette interface.
- Entrez un Description (facultatif).
- Cochez Activé.
- Entrez les Adresse IP à utiliser pour ce réseau interne WireGuard. Ce doit être doit être distinct de votre schéma IP de réseau interne existant. Par exemple, si votre réseau interne utilise 192.168.0.1/24, vous devez choisir un schéma IP unique différent, comme 192.168.255.1/24.
- Entrez les Port d’écoute à utiliser lors de la connexion au VPN (Par défaut : 51820). C’est le port que vous utiliserez sur votre réseau externe pour envoyer le trafic VPN vers votre réseau interne.
- Entrez un Clé privée ou laissez ce champ vide pour générer automatiquement une clé.
- Saisissez une IP de point de terminaison ou laissez ce champ vide, et le système essaiera de détecter automatiquement l’adresse IP. Nous recommandons vivement de saisir l’adresse IP manuellement afin de garantir une configuration correcte. Cette adresse IP est l’adresse IP externe de votre environnement, généralement la même que celle de votre IU. Vous pouvez trouver votre adresse IP externe en allant à Réseaux -> Externes et en affichant votre réseau externe. Dans la section Routeur réseau, il doit s’agir de l’adresse IP comme indiqué ci-dessous :
Cliquez Soumettre pour ajouter la nouvelle interface.
Après avoir ajouté l’interface, vous serez redirigé vers le tableau de bord où vous verrez votre nouvelle interface.
Cliquez Appliquer les règles dans la barre de menu de gauche pour appliquer les règles du pare-feu. Les règles créées automatiquement accepteront le trafic UDP entrant sur le port 51820 vers l’adresse IP du routeur et l’adresse IP DMZ du Réseau interne.

Règle PAT du réseau externe

Pour que le réseau interne soit connecté, nous avons besoin d’un PAT externe (Port Address Translation) pour traduire le port (51820 par défaut) vers le réseau interne.

Ajouter une règle PAT externe

Depuis le Réseau externe Tableau de bord, cliquez Règles dans le menu de gauche.
Cliquez Nouveau dans le menu de gauche.
Entrez un Nom qui sera utile pour l’administration future.
En option, un Description peut être saisi pour consigner des informations administratives supplémentaires.
Dans le Action menu déroulant, sélectionnez Traduire.
Dans le Protocole menu déroulant, sélectionnez UDP.
Dans le Direction menu déroulant, sélectionnez Entrant.

Source :

Dans le Type menu déroulant, sélectionnez N’importe lequel/Aucun. En option, vous pouvez verrouiller la source du trafic VPN ici si nécessaire.

Destination :

Dans le Type menu déroulant, sélectionnez l’IP de mon routeur. Si vous êtes dans un locataire, changez cela en Mes adresses IP et choisissez l’adresse IP du Interface utilisateur du tenant. Cela doit être identique à l’ IP de point de terminaison utilisée ci-dessus. Si vous utilisez une adresse IP différente de l’IP de l’IU, créez un SNAT règle sur le Externe réseau du fournisseur.
Dans le Ports/plages de destination champ, saisissez le Port (port par défaut : 51820).

Cible :

Dans le Type menu déroulant, sélectionnez IP DMZ de l’autre réseau.
Dans le Réseau cible menu déroulant, sélectionnez le Réseau cible.
Laissez le Ports/plages cibles champ vide.
Cliquez Soumettre et Appliquer les règles dans le menu de gauche pour appliquer la nouvelle règle.

Règle SNAT (si vous n’utilisez pas l’IP de l’IU)

Si vous ajoutez WireGuard et n’utilisez pas l’adresse IP de l’ IU, nous recommandons de créer un SNAT règle sur le Externe réseau du fournisseur.

Depuis le Réseau externe Tableau de bord, cliquez Règles dans le menu de gauche.
Cliquez Nouveau dans le menu de gauche.
Entrez un Nom qui sera utile pour l’administration future.
En option, entrez un Description pour obtenir des informations supplémentaires.
Dans le Action menu déroulant, sélectionnez Traduire.
Dans le Protocole menu déroulant, sélectionnez UDP.
Dans le Direction menu déroulant, sélectionnez Sortante.

Source :

Dans le Type menu déroulant, sélectionnez IP DMZ de l’autre réseau.
Dans le Réseau menu déroulant, sélectionnez le réseau interne sur lequel se trouve WireGuard.
Laissez le Ports/plages source champ vide.

Destination :

Dans le Type menu déroulant, sélectionnez N’importe lequel / Aucun.
Laissez le Ports/plages de destination champ vide.

Cible :

Dans le Type menu déroulant, sélectionnez Mes adresses IP.
Dans le Adresse IP menu déroulant, sélectionnez le adresse IP que vous souhaitez utiliser.
Cliquez Soumettre et Appliquer les règles pour activer la règle SNAT.

Cette règle SNAT force tout le trafic sortant provenant de l’adresse IP DMZ du réseau interne à utiliser la bonne adresse IP. Par défaut, il sort via l’adresse IP de l’IU, ce qui provoque des problèmes d’instabilité.

Ajouter un pair utilisateur distant

Vous configurerez un pair pour chaque utilisateur se connectant au VPN.

À partir de l’écran de l’interface WireGuard, cliquez sur Ajouter un nouveau pair.
Attribuez un Nom au pair, par exemple le nom de l’utilisateur distant.
En option, saisissez un Description.
Vérifiez le Configuration du pair à génération automatique case à cocher.
Entrez les Point de terminaison pour le pair (l’adresse IP, le nom d’hôte ou l’URL accessibles depuis l’extérieur).
Pour IPs autorisées, saisissez l’adresse IP /32 pour ce pair.
Dans le Configurer le pare-feu menu déroulant, sélectionnez Utilisateur distant.
Cliquez Soumettre pour enregistrer l’entrée du pair.