Accès distant et multi-sites UniFi : VPN, Site Magic SD-WAN et Site Manager

Périmètre

Ce guide couvre l’accès distant des utilisateurs, l’interconnexion de sites et l’administration multi-sites avec les fonctions natives des passerelles UniFi. Les passerelles UniFi gèrent trois types de VPN : serveur (accès distant), client (sortie vers un fournisseur VPN) et site à site.

Prérequis : un plan d’adressage sans chevauchement entre sites (voir le guide de conception) et une matrice de pare-feu par zones (voir le guide pare-feu).

VPN pour les utilisateurs nomades

Ubiquiti recommande Teleport ou WireGuard, et réserve OpenVPN aux cas de compatibilité. Pour un parc géré, WireGuard reste le meilleur compromis : une configuration par utilisateur, révocable individuellement, déployable par votre outil de gestion de postes. Teleport est pratique, mais son invitation à usage unique et son lien à WiFiman le destinent plutôt aux administrateurs et au dépannage.

Le VPN dans le pare-feu par zones

Tous les VPN, d’accès distant comme site à site (Site Magic, IPsec, OpenVPN), arrivent dans la zone VPN du pare-feu. Or la matrice par défaut autorise tout depuis VPN vers Internal. Laissée en l’état, une configuration WireGuard volée donne accès à tout le réseau interne.

1. 01

   Créez une politique Allow de la zone VPN vers les seules ressources nécessaires (serveur de fichiers, RDS, application métier), par sous-réseau VPN ou par adresse.

2. 02

   Ajoutez ensuite une politique Block de VPN vers Internal, Serveurs, IoT et Gestion, placée sous les autorisations.

3. 03

   Pour l’administration, réservez un serveur VPN ou un sous-réseau aux administrateurs, seul autorisé vers le réseau de gestion.

4. 04

   Sur 10.6, ne vous reposez pas sur Network Isolation pour bloquer le VPN : la note de version 11.0 corrige justement un défaut où les réseaux isolés n’isolaient pas le trafic vers la zone VPN.

VPN site à site : IPsec et OpenVPN

Pour relier deux sites, ou un site à un équipement tiers ou à un cloud public, UniFi propose IPsec et OpenVPN. Ubiquiti recommande IPsec, plus performant.

• IPsec entre deux passerelles UniFi : clé pré-partagée générée automatiquement, sous-réseaux distants, IP publique distante ; Ubiquiti recommande les réglages Auto. Les règles de pare-feu et les routes sont créées automatiquement.
• IPsec avec un équipement tiers ou un cloud : en mode manuel, version IKE, chiffrement, hachage, groupes DH, PFS et mode « route-based » doivent correspondre exactement des deux côtés. Pour AWS, Azure ou GCP, Ubiquiti oriente vers IPsec ou OpenVPN plutôt que vers le SD-WAN.
• Passerelle derrière un routeur opérateur : renseignez l’IP publique comme « Local Authentication ID » sur le site masqué (ou l’IP privée comme « Remote Authentication ID » en face).
• OpenVPN site à site : clé statique de 2048 bits, débit inférieur à IPsec. À réserver aux cas où IPsec n’est pas possible.

Pour tester un tunnel, Ubiquiti conseille de pinger entre deux clients des deux sites, et non vers ou depuis la passerelle elle-même ; sous Windows, autorisez l’ICMP dans le pare-feu local du poste de test.

Site Magic SD-WAN

Site Magic SD-WAN établit des tunnels entre passerelles UniFi depuis Site Manager (Settings > SD-WAN), sans configuration IPsec manuelle. Deux topologies :

La capacité du hub dépend du modèle : 100 tunnels pour un UDM Pro, un UDM SE ou un UCG Fiber, 200 pour un UDM Pro Max, 1 000 pour un EFG. Pour une PME avec un siège et quelques agences, un Hub & Spoke avec le siège comme hub et « Isolate Spokes » activé (qui exige le pare-feu par zones) est la topologie la plus lisible.

• « Auto-Scale and NAT Spoke VPNs » traduit chaque spoke vers un /24 unique : pratique en cas de chevauchement, mais seules les sessions initiées par le spoke passent. Mieux vaut un plan d’adressage propre.
• Le SD-WAN ne se gère que par le propriétaire du compte : documentez qui détient ce compte et protégez-le (MFA, adresse générique de l’entreprise).
• IPv6 n’est pas encore pris en charge en SD-WAN, et les USG non plus.
• Les routes sont échangées par OSPF : une politique personnalisée VPN vers Gateway trop stricte peut laisser le tunnel monté sans routes.
• En cas d’incident du cloud Ubiquiti, les tunnels restent montés mais la configuration ne peut plus être modifiée.
• Les tunnels utilisent la plage UDP 20100-22100 : à autoriser si un pare-feu amont filtre la sortie.
• UniFi Network 11.0 ajoute des politiques SD-WAN (routage selon la destination et la performance), qui exigent Site Manager 5.10.2 ou plus récent.

Site Manager, Fabrics et gestion locale

Site Manager (unifi.ui.com) donne accès à tous les sites dont vous êtes propriétaire ou administrateur délégué, avec des outils transverses : Site Magic, ISP Viewer, Update Manager, gestion des administrateurs et API Site Manager. L’accès distant est activé par défaut à l’installation initiale.

• Comptes : un compte propriétaire au nom de l’entreprise (adresse générique, MFA), des comptes nominatifs pour les administrateurs, délégués site par site. Évitez le compte personnel d’un technicien comme propriétaire.
• Direct Remote Connection (Control Plane > Console) accélère l’accès distant mais exige une IP publique et le port TCP 443 libre de toute redirection : à évaluer avec le pare-feu.
• Flux sortants à autoriser si la console est derrière un filtrage : TCP 443, TCP 8883 (sortant), UDP 3478 (STUN), UDP 123 (NTP) et DNS.
• Gestion locale : en cas de coupure Internet, la console reste joignable en local (port 443, 8443 pour un ancien serveur Network auto-hébergé). Conservez un compte local de secours dans le coffre de mots de passe.
• Fabrics : couche au-dessus de Site Manager pour regrouper des sites sous un même modèle d’administration et d’identité (RBAC, intégration d’IdP pour la ZTNA, modèles de politiques). Selon UniFi Academy, la ZTNA par identité exige Network 10.6 ou plus récent et une passerelle EFG, UDM-Pro-Max, UDM-Pro ou UDM-SE.

Pièges

• Zone VPN trop ouverte : le défaut « Allow All » vers Internal est le premier point à corriger après l’activation d’un serveur VPN.
• Passerelle derrière une box opérateur : WireGuard, OpenVPN et IPsec demandent une redirection de port ou des identifiants d’authentification ; Ubiquiti recommande une passerelle avec IP publique, car tout problème en amont peut couper le VPN.
• Chevauchement d’adresses : le 192.168.1.0/24 du domicile d’un nomade entre en conflit avec un siège adressé pareil. Adressez vos sites hors des plages grand public.
• Changement de propriétaire d’une console membre d’un groupe SD-WAN : Ubiquiti indique que les connexions vers ce site se ferment automatiquement.
• DNS des nomades : Teleport impose le DNS de la passerelle ; pour WireGuard, distribuez explicitement le DNS interne si les postes doivent résoudre le domaine AD.

Vérification

1. 01

   Depuis un poste nomade connecté en WireGuard : accès aux seules ressources autorisées, échec vers le réseau de gestion et les serveurs non listés (par exemple Test-NetConnection 10.10.1.1 -Port 443 doit échouer pour un utilisateur standard).

2. 02

   Révocation : supprimez un client WireGuard ou une invitation Teleport de test et vérifiez que la connexion n’est plus possible.

3. 03

   Site à site : ping entre deux clients des deux sites, puis test applicatif (partage, impression, VoIP inter-sites).

4. 04

   SD-WAN : routes distantes présentes, bascule testée en débranchant le WAN principal d’un spoke si la topologie le prévoit.

5. 05

   Site Manager : liste des administrateurs revue, compte propriétaire sous MFA, compte local de secours testé.

Sources

• Ubiquiti : introduction aux VPN UniFi
• Ubiquiti : Teleport
• Ubiquiti : serveur WireGuard
• Ubiquiti : serveur OpenVPN
• Ubiquiti : VPN IPsec site à site
• Ubiquiti : OpenVPN site à site
• Ubiquiti : SD-WAN avec Site Manager et Fabrics
• Ubiquiti : UniFi Site Manager
• Ubiquiti Academy : Zero Trust Networking with Identity
• Ubiquiti : gestion locale
• Ubiquiti : ports utilisés par UniFi
• Ubiquiti : pare-feu par zones