Ces deux produits sont des clients VPN logiciels à utiliser en complément d'une passerelle VPN-1. Ils permettent d'établir un tunnel chiffré entre un ordinateur et une passerelle VPN, pour protéger des flux sensibles.

Produit historique dans l'offre de CheckPoint, il dispose des fonctionnalités de base et sont utilisation ne nécessite pas l'achat de licence. Par contre son développement a été stoppé en faveur de SecureClient.

SecureClient est en quelque sorte un SecuRemote 2.0 avec les fonctionnalités supplémentaires suivantes :

• Possibilité de mettre en place une politique de sécurité sur le client (firewall local)
• Attribution d'une adresse IP dédiée au tunnel VPN
• Fonctions avancées de routage

1. Voici les flux à ouvrir de l'adresse C du client à l'adresse V de la VPN :
   • UDP 259 : RDP - Permet de déterminer avec quelles interfaces de la VPN le tunnel peut-être établi. Non nécessaire si la résolution des interfaces est désactivée.
   • TCP 264 : FW1_topo - Permet de récupérer la topologie du domaine VPN.
   • UDP/TCP 500 : IKE - Pour le tunnel VPN.
2. Voici les flux à ouvrir de l'adresse C du client à l'adresse P du Policy Server (uniquement pour SecureClient) :
   • TCP 18231 : FW1_pslogon_NG - En général, c'est la VPN qui fait office de Policy Server.
3. Voici les flux à ouvrir du groupe d'utilisateurs VPN à l'adresse V, en spécifiant la communauté RemoteAccess dans la colonne VPN:
   • UDP 18234 : tunnel_test - Permet comme son nom l'indique de tester un tunnel VPN.
4. Les flux devant passer dans le tunnel VPN doivent être autorisés du groupe d'utilisateur VPN vers les serveurs visés , sur les ports voulus et en spécifiant la communauté RemoteAccess dans la colonne VPN.

1. Voici les flux à ouvrir de l'adresse C du client à l'adresse V de la VPN :
   • UDP 259 : RDP - Permet de déterminer avec quelles interfaces de la VPN le tunnel peut-être établi. Non nécessaire si la résolution des interfaces est désactivée.
   • TCP 264 : FW1_topo - Permet de récupérer la topologie du domaine VPN.
   • UDP/TCP 500 : IKE - Pour le tunnel VPN.
   • IP 50 : ESP - Pour les flux chiffrés.
   • UDP 2746 : VPN1_IPSEC_encapsulation - Pour les flux chiffrés, uniquement en cas d'utilisation des options d'amélioration de connectivité.
2. Flux à ouvrir de V vers C pour les firewalls non statefull :
   • UDP 259 : RDP - Permet de déterminer avec quelles interfaces de la VPN le tunnel peut-être établi. Non nécessaire si la résolution des interfaces est désactivée.
   • UDP 500 : IKE - Pour le tunnel VPN.
   • IP 50 : ESP - Pour les flux chiffrés.
   • UDP 2746 : VPN1_IPSEC_encapsulation - Pour les flux chiffrés, uniquement en cas d'utilisation des options d'amélioration de connectivité.
3. Voici les flux à ouvrir de l'adresse C du client à l'adresse P du Policy Server (uniquement pour SecureClient) :
   • TCP 18231 : FW1_pslogon_NG - En général, c'est la VPN qui fait office de Policy Server.

Si vous n'avez pas un besoin identifié d'utiliser cette fonction, il est conseillé de la désactiver. En effet, si elle est activée, le client va lancer une connexion RDP vers chaques interfaces de la VPN à chaque établissement de tunnel. Ce qui peut se révéler gênant car cela peut diffuser sur le réseau client des adresses internes de la VPN. Pour désactiver cette fonction, il faut :

1. Editer l'objet de la passerelle VPN
2. Se rendre dans VPN → VPN Advanced → Dynamic Interface resolving configuration…
3. Décocher la case Enable dynamic resolution by SecuRemote/SecureClient
4. Supprimer le port UDP/259 des règles concernant la passerelle VPN
5. Appliquer la configuration

• Connexion impossible à cause de la translation d'adresse (NAT)
• Token Login : Failed to retrieve KeyHolder
• Cannot complete certificate chain
• No Valid CRL
• Mauvaise adresse utilisée pour communiquer avec la VPN avec l'authentification par certificat
• Problème de mutualisation

Retour à l'index CheckPoint