Mettre en place un VPN Beta

[K4ST0R]

Besoin

Améliorer la sécurité de nos accès à nos databases/serveurs.
Avoir une IP statique pour faciliter nos accès même en déplacement.

Solutions envisageables

1. Utilisation d'une solution cloud
2. Mise en place d'un serveur VPN (OpenVPN) gérer par beta

Informations complémentaires

• J'avais déjà entendu ce besoin au sein de la communauté beta.gouv
• Je me porte volontaire pour participer à la mise en place de la future solution choisie

[raphael-squelbut]

dans les solutions envisagées, j'étudierais la solution wireguard --> https://www.wireguard.com/
je pense qu'on pourrait ajouter lier la configuration de chaque nouvel arrivant à sa fiche beta et "automatiser" la chose

[K4ST0R]

Je connais pas wireguard, je vais regarder ça!

Oui je pensais à ça aussi, avec obligation de renouveller les clés au renouvellement des dates de mission dans les fiches.

[benjlevesque]

j'ai utilisé wireguard avec wg-access-server pour que les devs puissent créer leurs profils pour chacun de leurs devices
je vois dans la doc qu'on peut restreindre l'accès à un domaine, donc ca pourrait être limité aux compte @beta.gouv.fr...

Edit: ce fork est mieux maintenu

[revolunet]

Vous passez par un VPN pour quels usages ?

• Accès shell prod ?
• Accès BDDs prod ?
• Accès VaultWarden

[raphael-squelbut]

Pour le moment nous on l'utilise pour pouvoir administrer nos machines Outscale SecNumCloud.
L'API SecNumCloud de Outscale n'est accessible que si l'on vient d'une IP préalablement déclarée chez Outscale.

[mattboll]

Côté dev : Accès BDDs de prod et accès shell à certaines machines ovh (mais c'est assez rare et pour l'instant on n'utilise pas de VPN, ce serait juste du confort en cas de changement d'IP)

Pour quasiment toute l'équipe : accéder à Metabase. On a pas mal de stats de suivi et pas assez confiance dans metabase ni la machine qui héberge metabase pour la laisser accessible publiquement

[jdauphant]

Pour metabase ou des services web, il possible de mettre un reverse proxy avec un clé yubikey pour accéder (on peut s'appuyer sur mon compte pro peut-être qui gère ce type de clé)

[Rhmaric]

A noter également dans l'expression du besoin :

• On souhaite router qu'une partie du flux à travers le VPN. Certains VPN routent par défaut l'intégralité du trafic. Ici il ne serait question que de router le trafic d'une liste d'IP ou de domain seulement. C'est d'ailleurs un très bon moyen de limiter le dimensionnement du serveur VPN.
• Egalement, pour le cas DossierFacile, pour des raisons de sécurité, on souhaiterait limiter l'accès à nos outils de back-office à des utilisateurs non-tech (les opérateurs de validations) derrière un VPN. La configuration du client VPN doit donc être simple. Je sais qu'il est également possible que cette configuration soit poussée directement par le serveur (notamment dans le cas d'une mise à jour des routings).

Se pose la question donc de la configuration de routing. Si on envisage un VPN commun beta, il faudrait que l'on puisse définir idéalement des config de routing par Start-up d'Etat / Projet.

[raphael-squelbut]

WireGuard est parfaitement indiqué dans ton cas 1.
En ce qui concerne le cas 2, c'est quand le serveur VPN a changé d'IP ? Je ne sais pas ce qu'il est possible de faire.

[Rhmaric]

Je suis également tombé récemment sur des solutions dont la proposition de valeur est intéressante sur le papier : "ditch your VPN"

• https://www.twingate.com/
• https://tailscale.com/

Ces 2 solutions combinent des fonctionnalités de VPN mais également de gestion des accès SSH sur serveurs physiques (principe de bastion SSH).
Dans une même solution on peut donc gérer les comptes utilisateurs VPN et les accès SSH qui y sont souvent associés.
Cela permet de se passer d'un VPN et également d'un bastion SSH (voire d'une gestion manuelle des clés sur les serveurs).

Je n'ai jamais utilisé ce type de solution, la proposition est alléchante mais loin d'être souveraine ;)

[revolunet]

voir aussi https://goteleport.com

[revolunet]

Notes suite échange visio : https://pad.numerique.gouv.fr/YvfTZsNwQLCGAy2rEL1rRA#Recommandations