Tunnels d'accès distant
Les tunnels Vigileos permettent d'accéder à distance aux équipements de votre réseau local de manière sécurisée, sans ouvrir de ports sur votre routeur et sans VPN.
Principe de fonctionnement
Un tunnel crée une connexion chiffrée entre votre navigateur et un équipement du réseau local, en passant par l'agent installé sur site :
Navigateur --HTTPS--> Serveur Vigileos --FRP--> Agent --> Equipement
L'agent agit comme un relais sécurisé. Aucun port entrant n'a besoin d'être ouvert sur le réseau du site.
Page Tunnels
La page Tunnels (menu latéral, section RÉSEAU) rassemble les tunnels du compte : ceux qui sont ouverts, ceux des trente derniers jours, et les équipements que l'on peut joindre. Elle se met à jour toute seule : un tunnel ouvert depuis un autre onglet ou par un collègue apparaît sans recharger la page.
Les quatre indicateurs
| Indicateur | Ce qu'il compte |
|---|---|
| Tunnels ouverts | les tunnels en cours d'ouverture ou actifs, et le nombre de sites concernés |
| Ouverts ce mois | les tunnels ouverts sur les 30 derniers jours |
| Durée moyenne | la durée des tunnels terminés sur 30 jours ; vide tant qu'aucun tunnel n'est terminé |
| Échecs d'ouverture | les tunnels qui ne se sont pas établis sur 30 jours |
Le registre des tunnels
La carte Tunnels a deux onglets :
- Ouverts : chaque tunnel avec son temps restant et son heure d'expiration, l'équipement, le site et l'IP locale, le service et le port, et son filtrage (Filtré sur N IP ou Sans filtrage IP) ;
- Historique 30 j : les tunnels fermés, expirés ou en échec du compte. Vigileos garde les dix derniers tunnels de chaque équipement : un équipement très sollicité n'y montre que ses dix derniers.
Le champ Filtrer cherche par équipement, site ou adresse. En tête de carte, trois compteurs : les tunnels ouverts, les sites arrivés à leur limite de tunnels simultanés, et les tunnels ouverts ce mois.
Accès rapide et garanties
La carte Accès rapide liste les équipements en ligne, avec leur dernier tunnel et le nombre de tunnels ouverts sur 90 jours. Ouvrir lance la fenêtre d'ouverture avec l'équipement déjà choisi.
La carte Ce que garantit un tunnel rappelle les quatre règles : aucune redirection de port, expiration après une heure, filtrage par IP source, journal des tunnels.
Ouvrir un tunnel
Cliquez sur Ouvrir un tunnel (ou sur Ouvrir dans l'accès rapide) :
- Site : les sites dont le collecteur répond d'abord ; ceux dont le collecteur est hors ligne apparaissent grisés, avec la raison.
- Équipement : les équipements en ligne du site ; son IP locale s'affiche dessous.
- Service : les ports que le collecteur a trouvés ouverts sur l'équipement (HTTPS 443, HTTP 80, SSH 22…), ou Autre port (TCP, de 1 à 65535).
- Cliquez sur Ouvrir le tunnel.
En bas de la fenêtre, l'offre du site indique combien de tunnels sont déjà ouverts sur ce site et combien il en admet.
La fenêtre suit ensuite l'ouverture : Établissement du tunnel (quelques secondes en général, une minute au plus). Annuler pendant l'attente ferme le tunnel. Une fois prêt, elle donne l'URL (web), la commande SSH ou l'hôte et le port (autres services), l'IP publique autorisée et l'heure d'expiration. Accéder ouvre un tunnel web dans un nouvel onglet.
Si le tunnel ne s'établit pas, la fenêtre dit pourquoi :
| Cause | Quoi faire |
|---|---|
| Tunnel non établi | le collecteur n'a pas confirmé à temps : vérifiez que l'équipement répond, puis Réessayer |
| Collecteur hors ligne | vérifiez l'alimentation et la connexion Internet du collecteur |
| Limite du site atteinte | fermez un tunnel de ce site, puis réessayez |
| Le collecteur n'a pas pu établir le tunnel | réessayez ; si l'échec persiste, redémarrez le collecteur depuis la page Agents |
| Port fermé | le service ne tourne pas sur l'équipement : choisissez un autre port |
Modifier revient au choix, site, équipement et service déjà remplis.
Actions sur un tunnel
Sur une ligne ouverte, Ouvrir (tunnel web) ou Copier (SSH, TCP) donne l'accès direct. Le menu … propose :
| Action | Effet |
|---|---|
| Copier l'URL | copie l'adresse du tunnel (tunnel web) |
| Autoriser mon IP actuelle | ajoute votre IP publique aux IP autorisées (tunnel filtré) |
| Verrouiller / Déverrouiller | filtre le tunnel sur ses IP autorisées, ou l'ouvre à toute adresse ; SSH et TCP restent toujours filtrés |
| IP autorisées… | la liste du tunnel : l'IP de la personne qui l'a ouvert (toujours autorisée), les adresses ajoutées, et l'ajout d'une adresse saisie (IPv4 ou IPv6, sans plage, dix au plus) |
| Partager par lien | crée un lien à usage unique (tunnel actif) |
| Prolonger d'une heure | repousse l'expiration d'une heure, jusqu'à 24 heures après l'ouverture |
| Journal du tunnel | l'ouverture et la fin du tunnel |
| Fermer le tunnel | coupe le tunnel immédiatement, liens partagés compris |
Chaque action n'affiche que la réponse du serveur : une heure d'expiration, une liste d'IP ou un refus (« 24 h au maximum », par exemple).
Un tunnel fermé n'est plus accessible par le relais dès la fermeture. Si la box ne répond pas à cet instant, le message devient Tunnel fermé, la box sera prévenue dès qu'elle répond : Vigileos lui renvoie l'ordre de fermeture chaque minute, jusqu'à ce qu'elle le reçoive ou que le tunnel atteigne son échéance, à laquelle la box le ferme d'elle-même.
Dans l'historique, Rouvrir relance la fenêtre d'ouverture sur le même équipement et le même port.
Le journal des connexions au relais (qui s'est connecté, depuis quelle IP) n'est pas encore tenu : le journal d'un tunnel montre son ouverture et sa fin.
Exporter
Les administrateurs et les techniciens exportent les tunnels du registre en CSV, Excel ou PDF (bouton Exporter). Le fichier contient des adresses IP : il n'est pas proposé à un lecteur.
Partage de tunnel
Pour donner l'accès à une personne sans compte Vigileos :
- Sur un tunnel actif, choisissez Partager par lien : Vigileos crée le lien.
- Copier le lien, puis envoyez-le.
Le destinataire arrive sur une page qui lui montre ce que le lien ouvre (équipement, site, service, heure d'expiration, son IP publique) sans rien consommer : l'aperçu d'une messagerie ou un antivirus qui suit le lien ne le grille pas. Son IP n'est autorisée que lorsqu'il clique sur Ouvrir ; le lien ne sert alors plus. Les anciens liens en /tunnel/join/… mènent à la même page.
Le lien donne un accès direct à l'équipement jusqu'à l'expiration du tunnel. Ne le partagez qu'avec des personnes de confiance. Pour un membre de votre compte, préférez Autoriser mon IP actuelle depuis son propre poste.
Limites
| Paramètre | Valeur |
|---|---|
| Tunnels simultanés | par site, selon l'offre du site |
| Durée | une heure à l'ouverture |
| Prolongation | d'une heure à la fois, 24 heures au plus après l'ouverture |
| Historique | les dix derniers tunnels de chaque équipement |
Sécurité
- Chaque tunnel est filtré par IP source dès son ouverture : seule l'IP publique de la personne qui l'ouvre passe, plus les adresses ajoutées ou autorisées par un lien.
- Chiffrement : navigateur vers relais en HTTPS/TLS (tunnel HTTPS) ; relais vers collecteur par une connexion authentifiée et chiffrée (FRP) ; collecteur vers équipement en direct sur le réseau local.
- Les ouvertures, fermetures et IP ajoutées sont journalisées, par utilisateur.
Accès refusé par le relais
Quand le relais refuse l'ouverture d'un tunnel web (HTTP ou HTTPS), il affiche une page en français qui dit pourquoi et quoi faire. Elle montre toujours Votre IP publique (telle que le relais la voit), le Tunnel (hôte:port) et le Code du refus, avec un bouton Se connecter à Vigileos qui mène à la page Tunnels.
| Code | Ce que dit la page | Quoi faire |
|---|---|---|
| 403 · IP non autorisée | « Votre IP n'est pas autorisée » : le tunnel est filtré par IP et votre IP publique n'est pas dans la liste | Avec un compte Vigileos : page Tunnels, Autoriser mon IP actuelle. Sans compte : demandez un lien de partage à la personne qui a ouvert le tunnel |
| 410 · Tunnel expiré | « Ce tunnel a expiré » : il s'est fermé à son échéance | Demandez à la personne qui l'a ouvert d'en établir un nouveau |
| 404 · Tunnel introuvable | « Ce tunnel est fermé » : la personne qui l'a ouvert l'a fermé | Demandez-lui d'en établir un nouveau |
Deux autres cas peuvent apparaître :
- 403 · Équipement non surveillé : l'accès à distance est réservé aux équipements surveillés. Ajoutez l'équipement à la surveillance de son site, ou passez à une offre qui l'inclut.
- 503 · Service indisponible : le service qui autorise les tunnels ne répond pas. C'est une panne côté Vigileos, pas un refus de droits : rien n'est à corriger chez vous. Réessayez dans quelques minutes, puis contactez le support si cela persiste.
Les tunnels SSH et TCP n'affichent pas de page : une connexion refusée est simplement fermée. Si votre client SSH se déconnecte aussitôt, vérifiez d'abord que votre IP est autorisée sur le tunnel.
Terminal SSH dans le navigateur
La fiche d'un équipement dont le port SSH a été trouvé ouvert propose SSH, dans ses actions rapides. La page de session s'ouvre dans l'application ; la connexion passe par le collecteur du site, sans tunnel à créer ni port à rediriger.
- Saisissez l'utilisateur.
- Choisissez Mot de passe ou Clé privée ; une clé chiffrée demande aussi sa phrase secrète.
- Se connecter : le terminal s'ouvre, avec couleurs, complétion et historique de commandes. Plein écran, Déconnecter et Reconnecter sont en tête de la carte.
Les identifiants sont demandés à chaque session : ni le mot de passe ni la clé ne sont enregistrés, ni dans le navigateur ni sur le serveur. À la première connexion, l'empreinte de la clé d'hôte de l'équipement est enregistrée, puis vérifiée à chaque session.
Quand la session ne s'ouvre pas, la carte nomme la cause et le formulaire reste prêt pour Réessayer :
| Cause | Ce qu'il faut faire |
|---|---|
| Authentification refusée | Vérifier l'utilisateur et le mot de passe ou la clé |
| Identifiants incomplets | Compléter le formulaire : l'équipement n'a pas été contacté |
| Collecteur sans réponse | Vérifier que le collecteur du site est en ligne |
| Équipement injoignable | Vérifier que l'équipement est allumé et que SSH y est actif |
| La clé d'hôte a changé | La session est bloquée : réinstallation ou interception, les deux empreintes sont affichées |
| Équipement non surveillé | Ajouter l'équipement à la surveillance du site |
| Limite de tunnels atteinte | Fermer un tunnel du site depuis la page Tunnels |
Sans port SSH ouvert, la page affiche SSH indisponible et ramène à la fiche.