Accès au réseau de l’entreprise en télétravail : comment se connecter à distance proprement
En bref
Commencez par la liste de ce que vos équipes doivent atteindre de chez elles : souvent, tout est déjà en ligne et aucun accès au réseau n’est nécessaire. Pour un serveur, un logiciel ou un enregistreur resté au bureau, passez par un VPN avec identification, plutôt que par un port ouvert, et ne donnez accès qu’à ce qui sert.
La comptable travaille de chez elle le mercredi, le commercial prépare ses rendez-vous le soir, le gérant veut jeter un œil aux caméras du dépôt pendant ses congés. Chacun a besoin de quelque chose qui se trouve au bureau. Dans beaucoup de PME, la solution a été trouvée un soir, dans l’urgence : un port ouvert sur la box, un logiciel de prise en main à distance, un mot de passe partagé. Voici comment remettre cet accès en ordre.
Qu’est-ce que vos équipes doivent vraiment atteindre ?
Avant de parler de VPN, faites la liste, personne par personne :
- la messagerie, les fichiers, le logiciel de gestion : sont-ils en ligne, ou sur un serveur au bureau ?
- un logiciel installé sur un ordinateur du bureau, souvent la comptabilité ou un logiciel métier ancien ;
- le serveur de fichiers (le NAS) ;
- l’enregistreur des caméras ;
- l’imprimante, plus rarement.
Si tout ce qui sert est en ligne, aucun accès au réseau de l’entreprise n’est nécessaire : vos équipes travaillent depuis Internet, et le réseau du bureau reste fermé. C’est le cas le plus simple, et le plus sûr. Un accès à distance ne se justifie que pour ce qui reste physiquement au bureau.
L’accès à distance est une pièce de l’organisation du réseau : le tableau complet est dans notre guide de l’architecture du réseau d’entreprise, et les questions de sécurité dans le guide de la cybersécurité du réseau pour une PME.
Pourquoi ne pas simplement ouvrir un port ?
Ouvrir un port, c’est rendre un appareil du bureau joignable depuis Internet, par vous comme par n’importe qui. Ubiquiti, le fabricant des passerelles UniFi, rappelle deux choses sur la redirection de port : la sécurité repose alors sur l’appareil exposé, et le trafic n’est pas chiffré par défaut.
Le bureau à distance de Windows (RDP) ouvert sur Internet est l’exemple classique. Cybermalveillance.gouv.fr, le dispositif public français d’assistance aux victimes, conseille de limiter par un pare-feu l’ouverture des accès extérieurs ou distants, RDP par exemple, aux seules personnes et aux seuls services qui en ont besoin.
Le VPN : comment ça marche ?
Un VPN d’accès à distance relie l’ordinateur ou le téléphone d’une personne au réseau de l’entreprise, par un tunnel chiffré à travers Internet. Selon Ubiquiti :
- la personne doit s’identifier avant d’accéder à quoi que ce soit ;
- toutes les données sont chiffrées ;
- le réseau interne reste caché d’Internet.
Cybermalveillance.gouv.fr recommande de systématiser les connexions à distance par VPN, et d’y ajouter une double authentification. L’ANSSI, l’agence française de cybersécurité, va dans le même sens dans son guide La cybersécurité pour les TPE/PME en 13 questions (version de novembre 2024) : un VPN chiffré pour accéder aux systèmes de l’entreprise, et aucune application ni donnée métier sensible exposée directement sur Internet, l’accès ne passant que par le VPN.
Quelles solutions sur une passerelle UniFi ?
Les passerelles UniFi font elles-mêmes serveur VPN. Ubiquiti en présente plusieurs :
| Solution | Comment on s’y connecte | À savoir |
|---|---|---|
| Teleport | Une invitation, puis l’application WiFiman sur le téléphone ou l’ordinateur | Chiffré par WireGuard, fonctionne sans adresse IP publique |
| WireGuard, OpenVPN | Un client VPN sur l’appareil, réglé une fois | Demande une adresse IP publique |
| L2TP | Un client VPN sur l’appareil | Demande une adresse IP publique ; plus lent que WireGuard ou Teleport, selon Ubiquiti |
| Redirection de port | Aucun client | Trafic non chiffré par défaut, appareil exposé |
Teleport est la solution la plus simple à distribuer : l’administrateur génère une invitation, la personne l’ouvre dans WiFiman, et la liaison se crée. L’invitation expire au bout de 24 heures et ne sert qu’à un appareil à la fois. L’accès se retire ensuite depuis la liste des appareils, par exemple au départ d’un employé. Ubiquiti signale que, dans certains cas, Teleport demande une connexion IPv6 du côté Internet de la passerelle.
Pour les autres VPN, Ubiquiti précise qu’une adresse IP publique est nécessaire, et qu’une adresse fixe rend la connexion plus stable dans le temps. Toutes les connexions n’en donnent pas : c’est un point à vérifier avec votre opérateur.
Donner accès à tout, ou seulement à ce qui sert ?
Une fois connectée par VPN, une personne arrive dans votre réseau. Par défaut, sur une passerelle UniFi, la zone VPN peut atteindre le réseau interne, selon la documentation du pare-feu par zones. C’est pratique, et souvent trop large.
Mieux vaut régler le pare-feu pour que le VPN n’atteigne que ce qui sert : le serveur de fichiers pour la comptable, l’enregistreur des caméras pour le gérant. Cybermalveillance.gouv.fr conseille aussi de cloisonner les systèmes pour lesquels un accès à distance n’est pas nécessaire. Les règles à prévoir sont détaillées dans Règles de pare-feu : ce qu’une PME devrait bloquer et autoriser.
Et le poste de travail à la maison ?
Le VPN protège le trajet, pas l’ordinateur. Cybermalveillance.gouv.fr conseille de privilégier les équipements fournis et maîtrisés par l’entreprise, plutôt que l’ordinateur personnel, et de tenir une politique stricte de mises à jour de sécurité. L’organisme recommande aussi de journaliser tous les accès, assez longtemps pour comprendre, après coup, ce qui s’est passé.
Et les caméras ?
Le cas est fréquent : on veut voir les images du dépôt depuis son téléphone. Deux voies évitent d’exposer l’enregistreur : le VPN, ou l’application du fabricant quand elle donne accès aux images sans ouvrir de port. Le sujet a son propre article : Voir ses caméras à distance sans ouvrir le réseau aux intrus.
Plusieurs sites, ou plusieurs personnes ?
Ne confondez pas deux besoins. Le VPN d’accès à distance relie une personne au réseau. Le VPN entre sites relie deux bâtiments, par exemple le dépôt au siège, en permanence et sans que personne ait à se connecter. Le second est expliqué dans Relier les sites de votre entreprise, avec ou sans VPN.
Ce que fait SateLink
Nous commençons par la liste de ce que vos équipes doivent atteindre de chez elles : parfois, la bonne réponse est qu’il ne faut aucun accès au réseau. Romuald et son équipe posent ensuite la passerelle UniFi et les réseaux séparés de l’entreprise, avec les liaisons entre sites quand elles servent, et l’accès à distance par VPN pour les personnes qui en ont besoin. Vous recevez les plans et les accès à la fin.
SateLink Solution est une entreprise indépendante, qui pose et configure ce matériel sans appartenir à ces sociétés.
Avec la maintenance Sérénité, le réseau est supervisé à distance et les mises à jour critiques sont appliquées. Tout ce que comprend une installation est sur la page Réseau et Wi-Fi.
En résumé
- Faites d’abord la liste de ce qui doit être atteint de l’extérieur : si tout est en ligne, le réseau du bureau peut rester fermé.
- Pour ce qui reste au bureau, un VPN avec identification, pas un port ouvert.
- Sur UniFi, Teleport s’installe par invitation et se retire en un réglage ; les autres VPN demandent en général une adresse IP publique.
- Le VPN n’atteint que ce qui sert, et l’ordinateur à la maison reste à jour.
Vous voulez savoir ce que vos équipes doivent atteindre, et par où ? L’appel de cadrage est gratuit : trente minutes pour en faire la liste ensemble.
