Mappage commun des fournisseurs de VPN (UiPath IPSec / IKE)

Mappez la terminologie courante de l'appareil VPN sur site aux paramètres IPsec et IKE utilisés par les passerelles VPN UiPath dans Test Cloud.

Cette section permet de mapper la terminologie commune des périphériques VPN locaux aux paramètres IPsec / IKE utilisés par les passerelles VPN UiPath.

Différents fournisseurs utilisent des noms différents pour les mêmes concepts cryptographiques.

UiPath utilise la terminologie IPsec et IKE standard, qui peut sembler peu familière si vous êtes habitués à des écrans de configuration spécifiques aux pare-feu.

Principes de mappage généraux

Avant de passer en revue des exemples spécifiques aux fournisseurs, gardez à l'esprit les principes généraux suivants :

• La phase 1 IKE est couramment appelée proposition IKE, proposition de phase 1 ou politique IKE sur les périphériques de pare-feu.
• La phase 2 IKE est couramment appelée proposition IPsec, Mode rapide ou Politique de phase 2.
• La clé secrète de tous les pare-feux (PFS) est souvent implémentée sur les pare-feu sous la forme d’une case à cocher combinée à un groupe Diffie-Hellman. Dans UiPath, la sélection d’un groupe PFS active implicitement PFS.

ForitiClient (Fortainet)

Table 1. Phase 1 (IKE)

Fortime Gate	UiPath
Version IKE	IKEv1 ou IKEv2
Encryption	AES128, AES256
Authentification	SHA1, SHA256
DH Group	HDGroup2, HDGroup14, HDGroup24
Méthodes d'authentification SQL	Clé pré-partagée

Exemple (configuration commune de ForGate) :

• Chiffrement : AES256
• Authentification : SHA256
• Groupe HD : 14

Configuration équivalente de la phase 1 UiPath :

• Chiffrement : AES256
• Intégrité : SHA256
• Groupe HD : HDGroup14

Tableau 2. Phase 2 (IPSec)

Fortime Gate	UiPath
Encryption	AES128, AES256, GCM AES
Authentification	SHA1, SHA256, GCM
Activer PFS	Sélectionner le groupe PFS
PFS Group	PFS14, PFS2048, ECP256

Important :

Si ForiGate utilise GCM, UiPath doit utiliser les paramètres GCM correspondants à la fois pour le chiffrement et l'intégrité (par exemple, GCMAES256 pour les deux).

Réseaus Palo Alto

Tableau 3. Phase 1 (Profil de cryptographie IKE)

Palo Alto	UiPath
Encryption	AES128, AES256
Authentification	SHA1, SHA256
DH Group	Groupe2, Groupe14, Groupe20
Méthodes d'authentification SQL	Clé pré-partagée

Mappage de groupe HD :

• Groupe14 → HDGroup14
• Groupe20 → ECP384

Tableau 4. Phase 2 (Profil de cryptographie IPsec)

Palo Alto	UiPath
Encryption	AES128, AES256, AES-GCM
Authentification	SHA1, SHA256, Aucun (GCM)
Activer PFS	Sélectionner le groupe PFS
DH Group	PFS2, PFS14, PFS2048

Erreur Palo Alto courante

L’utilisation d’AES-GCM avec l’intégrité SHA256 n’est pas valide. Utilisez plutôt la configuration correcte suivante :

• Chiffrement : GCMAES256
• Intégrité : GCMAES256

Cisco ASA/Firefox

Tableau 5. Phase 1 (Politique IKE)

Cisco	UiPath
Encryption	AES, 3DES
Hash	SHA, SHA256
DH Group	2, 14, 24
Authentification	Clé pré-partagée

Exemple de configuration de Cisco Cisco :

• Chiffrement : AES-256
• Hachage : SHA256
• Groupe : 14

Configuration équivalente de la phase 1 UiPath :

• Chiffrement : AES256
• Intégrité : SHA256
• Groupe HD : HDGroup14

Tableau 6. Phase 2 (Ensemble des transformations)

Cisco	UiPath
Encryption	espagnol-aes, espagnol-gcm
Authentification	espagnol-sha-hmac, aucun
PFS	groupe2, groupe14

Exemple Cisco GCM : RESP-GCM 256

Configuration UiPath équivalente

• Chiffrement : GCMAES256
• Intégrité : GCMAES256
• PFS : Aucun (à moins qu’il ne soit explicitement activé)

Point de contrôle

Tableau 7. Phase 1

Point de contrôle	UiPath
Encryption	AES128, AES256
Intégrité	SHA1, SHA256
DH Group	Groupe2, Groupe14

Table 8. Phase 2

Point de contrôle	UiPath
Encryption	AES, AES-GCM
Intégrité	SHA, SHA256, Aucun
PFS	Activé + groupe HD

Important :

• Lorsque PFS est activé, sélectionnez le groupe PFS correspondant dans UiPath.
• Lors de l'utilisation de GCM, le chiffrement et l'intégrité doivent utiliser des algorithmes GCM correspondants.

Référence rapide : Mappage de groupe PFS et HD

Tableau 9. Référence rapide

Terminologie des pare-feu	UiPath
Groupe HD 1	PFS1
Groupe HA 2	PFS2
Groupe HD 14	PFS 2048
Groupe HD 24	PFS 24
Groupe ECDH 19	EC256
Groupe ECDH 20	ECCP384

En cas de doute

Si vous ne savez pas comment mapper la configuration de votre pare-feu aux paramètres UiPath :

1. Commencez par la stratégie UiPath IPsec / IKE par défaut.
2. Vérifiez que le tunnel VPN s’établit avec succès.
3. Introduisez une politique personnalisée uniquement si nécessaire.
4. Modifiez un paramètre à la fois.

Points à retenir

La plupart des échecs de VPN ne sont pas dus à des algorithmes cryptographiques incorrects, mais à une terminologie incompatible entre les fournisseurs. Cette section est destinée à combler ce fossé et à simplifier la configuration sur les plates-formes VPN courantes.