Assistance / Tutoriels

Les étapes, dans l’ordre

Ouvrez chaque étape pour voir quoi faire, le piège à éviter et l’astuce qui fait gagner du temps. Cochez-les au fur et à mesure.

1. 1

   Vérifier le poste et la passerelleEnterprise 7.7 est plus exigeant que Standard 6.87.

   • Les OS supportés sont Windows 10 ou 11 en 64 bits, sur processeur x86-64.
   • La passerelle doit supporter IKEv2 (ou SSL/OpenVPN) : IKEv1 n’existe plus en 7.x.
   • Les algorithmes DES, 3DES, MD5, SHA-1, DH 1, 2 et 5 ne sont plus acceptés.
   • Les certificats RSA de moins de 2048 bits et ECDSA de moins de 256 bits sont rejetés.

   Piège

   Un tunnel IKEv1 qui fonctionne parfaitement en Standard ne pourra tout simplement pas être recréé. Adaptez votre configuration VPN avant de migrer.

   Astuce

   Ouvrez la configuration actuelle et notez la version IKE et les algorithmes du tunnel : en deux minutes vous savez si la passerelle doit évoluer.

   Étape terminée
2. 2

   Documenter la configuration StandardTout ce qui n’est pas noté sera perdu.

   • Relevez l’adresse de la passerelle, les Local et Remote ID, les algorithmes, les réseaux distants, les DNS et le mode « tout dans le tunnel ».
   • Faites des captures d’écran de chaque onglet du tunnel.
   • Sauvegardez le certificat utilisateur (fichier P12), la clé prépartagée et la chaîne de CA de la passerelle.

   Piège

   Croire que l’export .tgb suffit toujours. Seule une configuration exportée depuis un client Standard 6.8.210 peut être importée dans Enterprise 7.7.013, et les configurations VPN IKEv1 ne seront pas importables dans Enterprise 7.7. Dans les autres cas, gardez l’export uniquement comme référence et recréez la configuration.

   Astuce

   Rassemblez captures, P12 et chaîne de CA dans un même dossier, hors du poste à migrer.

   Étape terminée
3. 3

   Préparer la licence EnterpriseUne licence d’abonnement, distincte de la licence Standard.

   • Procurez-vous un numéro de licence Enterprise avant le jour J.
   • Choisissez l’adresse e-mail d’activation. En déploiement, utilisez le nom du poste pour retrouver chaque activation.

   Piège

   Le paramètre ACTIVMAIL doit obligatoirement avoir la forme d’une adresse e-mail.

   Astuce

   ACTIVMAIL=%ComputerName%@societe.com fait apparaître le nom du poste dans la console d’activation.

   Étape terminée
4. 4

   Désinstaller le client StandardAvec un accès internet, pour libérer la licence.

   • Ouvrez le Panneau de configuration Windows > Programmes et fonctionnalités.
   • Sélectionnez « TheGreenBow VPN Client », puis cliquez sur Désinstaller (voir le chapitre 5 du Guide de l’administrateur Standard 6.8).
   • Redémarrez le poste.

   Piège

   Désinstaller hors connexion : l’activation Standard n’est pas libérée côté serveur et reste comptée.

   Astuce

   Vérifiez que l’étape 2 est bien terminée avant de cliquer : après la désinstallation, la configuration n’est plus consultable.

   Étape terminée
5. 5

   Installer Enterprise 7.7En mode silencieux, avec activation automatique.

   Deux modes d’installation sont possibles : le mode silencieux, en ligne de commande, et l’installation manuelle. Pour une installation manuelle, double-cliquez sur le fichier MSI et laissez-vous guider par l’assistant, décrit à la section 2.2 « Procédure d’installation » du Guide de l’administrateur.

   En mode silencieux :

   • Ouvrez une invite de commande en tant qu’administrateur.
   • Lancez l’installeur avec votre licence et votre e-mail d’activation :

   msiexec /i "<répertoire>\TheGreenBow_VPN_ENTERPRISE.msi" /q LICENSE=<numéro_de_licence> ACTIVMAIL=<email> NOACTIVWIN=1 AUTOACTIV=1

   Copier

   Pour en savoir plus sur les paramètres d’installation du Client VPN, consultez le chapitre 7 « Paramètres et propriétés de l’installeur MSI » du Guide de déploiement (PDF).

   Piège

   Une horloge de poste désynchronisée provoque les erreurs d’activation 54 ou 31. Vérifiez l’heure avant d’installer.

   Astuce

   Un avertissement SmartScreen « application non reconnue » peut apparaître au lancement de l’installeur. Il est lié au nouveau certificat de signature de code et ne signale pas de problème.

   Étape terminée
6. 6

   Recréer la configuration VPNDans le Panneau de Configuration du Client VPN Windows Enterprise, à partir de vos notes.

   • Créez le tunnel IKEv2 avec les paramètres relevés à l’étape 2.
   • Importez la chaîne complète de CA de la passerelle : son certificat est désormais vérifié par défaut.
   • Si votre token n’est pas reconnu, décrivez-le dans vpnconf.ini, placé dans le répertoire d’installation.

   Pièges

   • Certificat client à courbe elliptique face à une passerelle RSA en méthode 14 : le tunnel ne s’ouvre pas. Dans IKE Auth > Plus de paramètres, ajoutez Method14_RSASSA_PKCS1 à true, en respectant la casse.
   • L’onglet Plus de paramètres est masqué par défaut : pour l’afficher, cochez Afficher plus de paramètres dans Options > Général (Guide de l’administrateur, section 25.2.4).

   Astuce

   La sélection automatique des certificats suit les recommandations ANSSI sur Key Usage. Si votre certificat n’est pas proposé, vérifiez d’abord ses extensions.

   Contraintes Key Usage et Extended Key Usage : voir les sections 19.8.2 et 19.8.3 du Guide de l’administrateur.

   Étape terminée
7. 7

   Tester et sauvegarderUn tunnel qui s’ouvre n’est qu’un début.

   • Testez l’ouverture du tunnel, l’accès aux ressources, la renégociation et la sortie de veille.
   • Exportez la nouvelle configuration en .tgb protégée par mot de passe.

   Piège

   Le mot de passe d’export doit compter au moins 16 caractères, avec majuscule, minuscule et caractère spécial. Sinon, l’export est refusé.

   Voir la section 12.2 « Exporter une configuration VPN » du Guide de l’administrateur.

   Astuce

   Ce .tgb devient votre modèle : il se déploie sur d’autres postes avec TGBCONF_PATH à l’installation.

   Étape terminée