Bonjour,
 
Mon entreprise souhaite pouvoir donner l'acces a environs 150 postes nomades sur notre reseau, plus precisement sur un serveur applicatif particulier.
Chaque poste nomade sera pourvu d'un client lourd pour l'acces a l'application. Il me faut trouver le meilleur moyen pour permettre a ces braves gens de se connecter en toute securite au serveur.
Premierement, je pensais isole le serveur applicatif sur une DMZ afin de limiter l'acces reseau.
Pour securiser les connexions, il me faut bien sur un tunnel VPN. J'elimine le VPN SSL qui semble plus tourner vers un usage via navigateur.
Je ne sais pas qu'elle meilleure solution utiliser entre L2TP ou IPSEC. Qu'elle est la plus simple a mettre en place, cote client mais surtout cote reseau (ajout d'un serveur specifique?).  
Je m'inquiete egalement pour gerer l'authentification, et le cryptage. Comme ils sont 150, il faut une solution qui permette facilement le renouvellement des clees et des mots de passe. Une PkI me semble un peu lourde a mettre en place. Y'a t'il d'autre solutions (serveur radius?)
 
Si quelqu'un a deja ete confronte a un probleme similaire, je suis vraiment preneur d'infos et de conseils.
Bien a vous.
Benjo

Bonjour,
 
Tu peux te tourner vers une appliance type Sonicwall, checkpoint, netasq...

Tu peux utiliser un ASA Cisco (à partir de 5510 dans ton cas). Tu mets ton serveur sur une DMZ connecté à ton ASA et ensuite tu déplois tes clients VPN sur chaque poste (client Cisco VPN IPSEC). Ensuite pour l'authentification tu peux passer par un token OTP qui interroge un serveur radius interne (exemple Vasco).

je suis également sur ce genre de problématique. Je ne vois pas trop l'intérêt de créer une DMZ pour celà. L'accès VPN est suffisamment sécurisé pour laisser le serveur sur le réseau interne. Ce qui te permettra aussi d'y accéder depuis le réseau interne.
Pour finir, regarde bien les VPN SSL, aujourd'hui tu peux faire beaucoup de chose, à peu près les même chose qu'en IPSec et c'est plus simple à configurer. Des passerelle SSL permette de télécharger sur le client un agent qui ouvrira un tunnel, ce qui permet d'utiliser des client lourd.

Effectivement, j'ai eu l'occasion de toucher un peu aux derniers Secure Access de chez Juniper, c'est vraiment bien foutu comme appliance.