Alex Ruben
Comment restreindre l’accès VPN pour les utilisateurs de domaine à l’aide d’une stratégie de groupe sur Windows Server 2022 et 2019
Introduction
Il s’avère qu’empêcher les utilisateurs de se connecter via un VPN sur un réseau de domaine n’est pas si simple, mais c’est faisable. En résumé, il suffit de configurer un objet de stratégie de groupe (GPO) qui restreint la création et l’utilisation de VPN sur leurs PC. Si vous vous inquiétez des VPN non approuvés ou souhaitez simplement mieux contrôler l’accès à chacun, ces étapes sont très utiles. Sachez simplement que sur certaines configurations, ces stratégies peuvent nécessiter un redémarrage ou une commande gpupdate /force pour fonctionner correctement. Et comme Windows adore réserver des surprises, tester d’abord cette stratégie sur un petit groupe est une bonne idée.
Prérequis
Avant de plonger dans le vif du sujet, assurez-vous d’avoir :
- Droits d’administrateur sur votre machine Windows Server 2019 ou 2022.
- Console de gestion des stratégies de groupe (GPMC) installée — généralement une partie des outils d’administration de serveur distant.
- Une bonne compréhension de la structure de votre Active Directory, comme l’emplacement de vos unités d’organisation.
Étape 1 : Ouvrez la console de gestion des stratégies de groupe
La première étape consiste à trouver la console GPMC. Accédez au Gestionnaire de serveur, cliquez sur Outils et sélectionnez Gestion des stratégies de groupe. Si ce n’est pas le cas, vous devrez peut-être installer les outils RSAT. Une fois ouvert, votre domaine sera répertorié.
Étape 2 : Créer un nouvel objet de stratégie de groupe
Naviguez dans l’arborescence de votre domaine à gauche (par exemple, votredomaine.local ), faites un clic droit sur l’unité organisationnelle (ou sur le domaine lui-même si vous souhaitez une règle générale), puis choisissez Créer un objet de stratégie de groupe dans ce domaine et liez-le ici. Nommez-le par exemple Block VPN Access. Cela paraît évident, mais cela vous permettra de clarifier les choses plus tard. Sur certaines configurations, cela peut échouer la première fois ; redémarrez simplement GPMC ou déconnectez-vous puis reconnectez-vous.
Étape 3 : Modifiez l’objet de stratégie de groupe pour ajouter des restrictions VPN
Faites un clic droit sur votre nouvel objet de stratégie de groupe et choisissez « Modifier ». L’éditeur de gestion des stratégies de groupe s’ouvre. Suivez ensuite ce chemin dans le volet de gauche :
Configuration utilisateur → Stratégies → Modèles d’administration → Réseau → Connexions réseau
Bien sûr, Windows doit rendre le blocage des VPN un peu plus complexe. Certaines politiques associées peuvent se trouver sous différents nœuds selon votre version ou vos mises à jour ; restez donc vigilants.
Étape 4 : Activer les politiques pour arrêter l’utilisation du VPN
C’est là que la magie opère : activez ces politiques :
-
Double-cliquez sur « Interdire la configuration avancée TCP/IP ».Activez cette option. Cela empêche les utilisateurs de modifier les configurations réseau qui pourraient inclure des paramètres VPN sur certaines configurations.
-
Double-cliquez sur « Interdire l’accès à l’assistant de nouvelle connexion ». Activez également cette option. Cela ne bloquera peut-être pas tous les VPN, mais empêchera le démarrage de nouvelles connexions via l’assistant.
-
Double-cliquez sur Interdire l’accès aux préférences d’accès à distance dans le menu avancé. Activez-le.
-
Enfin, interdisez l’accès aux propriétés des connexions LAN. Activez cette option.
Pourquoi cela est utile : ces politiques rendent plus difficile pour les utilisateurs de consulter les options VPN ou de modifier leurs paramètres réseau. C’est l’objectif. Quand cela peut-il être utile ? Généralement lorsque les utilisateurs tentent de configurer leur propre VPN en violation de la politique de l’entreprise ou lorsque vous souhaitez renforcer la sécurité.
À quoi faut-il s’attendre ? Moins de fenêtres contextuelles VPN s’affichent, moins de risques de connexion accidentelle ou intentionnelle à des VPN externes. Et encore une fois, un redémarrage ou une gpupdate /forcecommande sur les machines clientes peut accélérer le processus.
Étape 5 : Appliquer les modifications
Une fois enregistrées, ces politiques s’appliqueront après un certain temps ou au redémarrage. Pour accélérer le processus sur les ordinateurs clients, ouvrez l’invite de commandes ou PowerShell et exécutez :
gpupdate /force
Cela force l’actualisation immédiate des politiques. Attention : sur certaines machines, une déconnexion et une reconnexion, ou un redémarrage, peuvent être nécessaires pour appliquer pleinement les restrictions.
Conseils supplémentaires et problèmes courants
Quelques conseils pour rendre cela plus fluide :
- Testez d’abord sur un petit groupe d’utilisateurs ou d’ordinateurs : rien n’est plus frustrant que de casser des choses en production.
- Recherchez d’autres GPO susceptibles d’être en conflit ou d’autoriser les VPN via des politiques locales ou des paramètres de sécurité.
- Tenez les utilisateurs informés : des restrictions soudaines sans avertissement peuvent entraîner de la confusion.
Conclusion
Je ne sais pas pourquoi cela fonctionne, mais ces paramètres bloquent la plupart des configurations VPN simples, ce qui rend l’accès au réseau un peu plus sécurisé. Ce n’est pas parfait, mais c’est un bon début. N’oubliez pas que la technologie a toujours une longueur d’avance : de nouvelles applications ou astuces VPN peuvent passer inaperçues, alors restez vigilants.
Questions fréquemment posées
Qu’est-ce qu’un GPO exactement ?
Il s’agit simplement d’un ensemble de règles que vous pouvez appliquer aux comptes d’utilisateurs ou d’ordinateurs dans Active Directory, un peu comme une télécommande pour les paramètres.
Cela peut-il être limité à certains utilisateurs ?
Absolument. Il suffit de lier l’objet de stratégie de groupe à une unité d’organisation contenant uniquement les utilisateurs ou ordinateurs que vous souhaitez restreindre. C’est très simple.
J’ai déjà installé un VPN. Est-ce que cela va les arrêter ?
Cela ne supprimera probablement pas le logiciel, mais cela devrait empêcher les utilisateurs de se connecter ou de le configurer — du moins c’est la théorie.