Configurer la connexion par certificat

Un certificat est un identifiant distinct et indépendant du mot de passe de votre compte. Si vous souhaitez un jour révoquer l'accès d'un appareil sans changer le mot de passe de votre compte partout ailleurs, un certificat le permettra. Et contrairement à un mot de passe faible, il ne peut être ni deviné ni cassé par force brute.

Le fichier de certificat est lui-même protégé par un mot de passe, pour qu'il soit inutilisable si quelqu'un d'autre s'en empare. Ce mot de passe est généré aléatoirement pour ce téléchargement et ne vous est montré qu'une fois. Ce n'est volontairement pas le mot de passe de votre compte, afin que les deux restent indépendants.

C'est presque toujours parce que les fichiers ont été ouverts par double-clic au lieu d'être importés via PowerShell. Le double-clic importe les certificats dans le magasin « Utilisateur actuel », alors que la connexion VPN de Windows en a besoin dans le magasin « Ordinateur local ». Pour corriger, relancez dans PowerShell (en tant qu'administrateur) les deux commandes d'importation de l'étape 3 ci-dessus.

Ce VPN ne fait actuellement passer que le trafic IPv4 dans le tunnel. Si votre connexion internet fournit aussi l'IPv6, les sites qui vérifient via IPv6 peuvent contourner le tunnel. En attendant la prise en charge de l'IPv6, désactivez l'IPv6 sur votre carte réseau : exécutez Get-NetAdapter | Disable-NetAdapterBinding -ComponentID ms_tcpip6 dans PowerShell en tant qu'administrateur.

Par sécurité, les certificats sont émis avec une durée de validité limitée. Si le vôtre a expiré, retournez sur la page de votre VPN dans le tableau de bord et téléchargez-en un nouveau : cela prend une minute et ne nécessite aucune intervention de l'assistance.

Cela signifie que le champ « Certificat CA IPSec » du profil VPN est réglé sur le certificat CA PrivyNet. Ce champ sert à valider le certificat du serveur VPN lui-même, pas la CA client : il doit être réglé sur « (ne pas vérifier) », avec Certificat de serveur IPSec laissé sur « (reçu du serveur) ». Si vous y sélectionnez notre CA client, Android rejette le certificat du serveur juste au moment où la connexion semblait sur le point d'aboutir. Si vous avez modifié plusieurs fois les paramètres d'un profil existant, supprimez-le puis créez-en un nouveau : un profil modifié peut se comporter de façon incohérente même quand les paramètres semblent corrects.

Cela signifie simplement que le profil n'est pas signé par une autorité de certification commerciale, ce qui est normal pour un VPN auto-hébergé et n'a aucune incidence sur son fonctionnement. Vous pouvez l'installer et vous connecter normalement.

Pas encore : la connexion par certificat est actuellement validée sur Windows, Android et iOS. Sur les autres plateformes, utilisez pour l'instant la connexion par mot de passe (voir le guide principal de configuration du VPN).