Foxency
Wi-Fi, Cloud et Technologies Réseau

VPN cloud et connectivité hybride

Relier son réseau au cloud de manière fiable demande plus qu'un tunnel IPsec : redondance, routage dynamique BGP, dimensionnement, DNS dans les deux sens et sécurité. Options, architectures et pièges à éviter.

Par Rédaction Foxency Publié le 6 min de lecture

Réseau d'entreprise relié à AWS et Azure par des tunnels VPN redondants et une liaison dédiée

Peu d'organisations basculent entièrement dans le cloud : la plupart vivent dans un modèle hybride, où des applications cloud dialoguent avec l'annuaire, les bases de données et les utilisateurs restés sur site. La qualité de cette connexion — disponibilité, latence, débit, sécurité — conditionne directement l'expérience des utilisateurs.

Objectif : connaître les options de connectivité hybride, concevoir une connexion redondante avec BGP vers AWS ou Azure, organiser la résolution DNS et éviter les pièges courants. Les principes des VPN sont détaillés dans VPN : fonctionnement et choix d'une solution.

Les options de connectivité

Option Principe Avantages Limites
VPN site à site IPsec Tunnels chiffrés sur Internet Rapide à déployer, coût modéré Débit et latence dépendants d'Internet ; débit plafonné par tunnel
Liaison dédiée (AWS Direct Connect, Azure ExpressRoute, Google Cloud Interconnect) Connexion privée via un opérateur partenaire ou un point d'échange Latence prévisible, débits élevés, ne transite pas par Internet Délais de mise en service, coût, nécessite un partenaire ; pas chiffrée par défaut
VPN sur liaison dédiée IPsec au-dessus de la liaison privée Chiffrement de bout en bout Complexité supplémentaire
SD-WAN avec intégration cloud Équipements SD-WAN virtuels dans le cloud ou intégration native Gestion unifiée avec les sites Dépendance au constructeur SD-WAN

Un schéma fréquent : une liaison dédiée pour le trafic principal, et un VPN en secours.

Les VPN site à site chez AWS et Azure

AWS Site-to-Site VPN

  • La connexion VPN se termine sur une Virtual Private Gateway (attachée à un VPC) ou, de préférence pour plusieurs VPC, sur une Transit Gateway.
  • Côté entreprise, on déclare une Customer Gateway (adresse publique de votre équipement, ASN BGP).
  • Chaque connexion VPN comprend deux tunnels, terminés sur des équipements AWS distincts, pour la redondance. Configurez les deux.
  • Le routage peut être statique ou dynamique (BGP).
  • Le débit est limité par tunnel (de l'ordre de 1,25 Gbit/s selon la documentation AWS) ; pour davantage, on agrège plusieurs tunnels en ECMP via une Transit Gateway.

Azure VPN Gateway

  • La passerelle VPN est déployée dans le sous-réseau GatewaySubnet du VNet (souvent le hub).
  • Côté entreprise, on déclare une Local Network Gateway (adresse publique, préfixes ou paramètres BGP).
  • Les passerelles peuvent être déployées en mode actif-actif (deux instances avec chacune une adresse publique) : configurez deux tunnels depuis votre équipement.
  • Le SKU de la passerelle détermine le débit agrégé, le nombre de tunnels et la prise en charge de BGP et des zones de disponibilité.

Les deux fournisseurs mettent à disposition des exemples de configuration pour les équipements les plus courants, téléchargeables depuis la console. Vérifiez que les paramètres IKE/IPsec choisis sont robustes (IKEv2, AES-GCM ou AES-256, SHA-2, groupes Diffie-Hellman forts).

Pourquoi utiliser BGP

Avec un routage statique, chaque nouveau sous-réseau, de part ou d'autre, impose une modification manuelle, et la bascule entre tunnels dépend de mécanismes de détection parfois lents. Avec BGP :

  • les préfixes sont échangés automatiquement ;
  • la bascule entre tunnels et entre liaisons est automatique, selon les attributs BGP ;
  • on peut préférer un chemin (liaison dédiée) et garder l'autre en secours (VPN) grâce aux attributs comme LOCAL_PREF et l'allongement de l'AS_PATH.

Exemple côté routeur d'entreprise (Cisco IOS XE, laboratoire) pour une préférence de la liaison dédiée en sortie :

route-map RM-DEPUIS-DX permit 10
 set local-preference 200
route-map RM-DEPUIS-VPN permit 10
 set local-preference 100
!
router bgp 65010
 neighbor 169.254.10.1 remote-as 64512
 neighbor 169.254.10.1 description AWS-VPN-tunnel1
 neighbor 169.254.20.1 remote-as 64512
 neighbor 169.254.20.1 description AWS-DX
 address-family ipv4
  network 10.10.0.0 mask 255.255.0.0
  neighbor 169.254.10.1 activate
  neighbor 169.254.10.1 route-map RM-DEPUIS-VPN in
  neighbor 169.254.20.1 activate
  neighbor 169.254.20.1 route-map RM-DEPUIS-DX in

Les adresses 169.254.x.x sont des adresses de lien local utilisées à l'intérieur des tunnels ; les ASN privés (64512 est l'ASN par défaut d'une passerelle AWS, 65515 celui d'une passerelle Azure) se configurent selon votre plan. Pour le trafic entrant vers votre réseau, le fournisseur applique ses propres règles de préférence entre liaison dédiée et VPN : consultez sa documentation. Voir BGP : principes fondamentaux et cas d'utilisation.

Concevoir la redondance

  1. Deux tunnels par connexion VPN, tous deux configurés et actifs.
  2. Deux équipements côté entreprise, idéalement, pour survivre à une panne de routeur.
  3. Deux accès Internet d'opérateurs différents pour les VPN.
  4. Liaisons dédiées redondantes sur des sites ou des emplacements partenaires distincts pour les charges critiques ; les fournisseurs publient des recommandations de résilience (niveaux de résilience maximale).
  5. Tests de bascule réguliers.

Le plan d'adressage

Les réseaux du cloud et de l'entreprise ne doivent pas se chevaucher. Établissez un plan d'adressage global avant de créer les premiers réseaux virtuels : un chevauchement découvert tardivement impose une migration ou des traductions d'adresses complexes.

Le DNS hybride

Les applications doivent résoudre les noms dans les deux sens :

  • du cloud vers le site : les ressources cloud doivent résoudre les noms de l'Active Directory ou du DNS interne ;
  • du site vers le cloud : les postes doivent résoudre les noms privés du cloud (zones privées, points de terminaison privés).

Solutions :

  • AWS : Route 53 Resolver avec des points de terminaison entrants et sortants et des règles de redirection.
  • Azure : Azure DNS Private Resolver avec points de terminaison entrants et sortants.
  • Sur site : redirecteurs conditionnels vers les points de terminaison entrants du cloud.

Voir DNS : résolution de noms et dépannage.

La MTU

L'encapsulation IPsec réduit la taille utile des paquets. Les fournisseurs indiquent la MTU et le MSS recommandés pour leurs tunnels (par exemple un MSS ajusté autour de 1 379 octets chez AWS selon sa documentation). Appliquez un MSS clamping sur votre équipement. Voir MTU, MSS et fragmentation des paquets.

La sécurité

  • Filtrer les flux dans les deux sens : un tunnel n'est pas une autorisation globale. Les groupes de sécurité et pare-feu cloud, ainsi que le pare-feu sur site, définissent précisément les flux autorisés.
  • Ne pas étendre aveuglément le domaine de confiance : une compromission dans le cloud ne doit pas donner un accès complet au réseau de l'entreprise, et inversement.
  • Chiffrer les liaisons dédiées si nécessaire (IPsec ou MACsec selon les offres), car elles ne sont pas chiffrées par défaut.
  • Journaliser : journaux de flux côté cloud, journaux du pare-feu côté site.

Superviser

  • état des tunnels et des sessions BGP ;
  • nombre de préfixes reçus et annoncés (les fournisseurs imposent des limites, au-delà desquelles la session BGP peut être coupée) ;
  • latence, pertes et débit ;
  • alertes sur les changements de chemin.

Erreurs courantes

  • Un seul tunnel configuré sur les deux fournis.
  • Plans d'adressage qui se chevauchent.
  • DNS hybride oublié, rendant les points de terminaison privés inutilisables depuis le site.
  • Routage asymétrique entre liaison dédiée et VPN.
  • Annoncer trop de préfixes et dépasser les limites du fournisseur.

Conclusion

Une connectivité hybride solide repose sur des liens redondants (tunnels doublés, liaison dédiée et VPN de secours), un routage dynamique BGP maîtrisé, un plan d'adressage sans chevauchement, un DNS bidirectionnel et un filtrage strict. Testez régulièrement les bascules : c'est le seul moyen de savoir que la redondance fonctionne.

Références