Checklist configuration VPN Site-à-Site (Cloud ↔ Sur site)

Vue d'ensemble architecture

Connecter réseau(x) sur site à VPC(s) cloud via tunnels IPsec chiffrés terminant sur passerelles VPN cloud et équipements passerelle client.

Pas à pas (Terminologie AWS ; Adaptable Azure/GCP)

1. Passerelle VPN Cloud

• Créer Virtual Private Gateway (VGW) ou Transit Gateway (TGW) par région.
• Attacher aux VPC cibles. Noter IP publiques assignées.

2. Passerelle Client (Sur site)

• Définir objet Customer Gateway : IP publique pare-feu/routeur sur site (IP statique préférée).
• Une par dispositif/emplacement physique.

3. Connexion VPN (Tunnel)

• Créer VPN Connection liant VGW/TGW ↔ Customer Gateway.
• Choisir routage Statique ou BGP. BGP préféré pour basculement/propagation routes.
• Configurer IPsec : IKEv2, AES-256, SHA-256, Groupe DH 14+, PFS activé.
• Générer Clé pré-partagée (ou charger certificat).
• Télécharger fichier configuration pour CLI vendeur (Cisco ASA, Palo Alto, FortiGate, Juniper, Ubiquiti, etc.).

4. Config dispositif sur site

• Appliquer config téléchargée : interface tunnel, crypto map, ACLs, exemptions NAT.
• Activer Dead Peer Detection (DPD) / keepalives.
• Régler TCPMSS clamping (1350–1380) pour éviter fragmentation.

5. Routage & Sécurité

• Tables routes VPC : ajouter route CIDR sur site → VGW/TGW.
• Sur site : ajouter route CIDR cloud → interface tunnel.
• Groupes sécurité / NACLs / politiques pare-feu : autoriser ports requis (ex: 3389, 22, 443, 1433, réplication AD).

6. Validation & Supervision

• ping / traceroute depuis sur site vers instance cloud (IP privée).
• Vérifier état BGP Established ; propagation routes les deux sens.
• Activer CloudWatch / Azure Monitor / Cloud Logging pour tunnel up/down, débit, erreurs replay.
• Configurer alertes : tunnel down > 1 min, bande passante > 80 % capacité.

Pièges courants

• CIDRs chevauchants (utiliser blocs RFC1918 uniques ou NAT)
• Routage asymétrique (assurer chemin retour identique)
• MTU mismatch (régler 1400–1450 sur interface tunnel)
• Tunnel unique = SPOF ; déployer deux tunnels par connexion (défaut AWS).