Un VPN sous Linux en ligne de commande : Proton, NordLayer, Mullvad et WireGuard
Ou : trois commandes suffisent, à condition de savoir laquelle ne pas lancer avec sudo.
La réponse courte : les principaux fournisseurs ont tous un outil en ligne de commande sous Linux, et Proton VPN a de nouveau le sien. En 2023, Proton n’avait plus de client officiel en terminal et renvoyait vers une configuration manuelle ; il a publié une première version en novembre 2025, puis sa première version stable, 1.0.0, le 7 avril 2026, sous licence libre GPLv3. On s’y connecte avec protonvpn signin, puis protonvpn connect --country CH ; il n’utilise que WireGuard et ne fonctionne pas encore sur une machine sans interface graphique. NordLayer se pilote par la commande nordlayer, NordVPN par nordvpn, Mullvad par mullvad. Et pour un serveur, WireGuard se configure sans aucune application, avec un fichier et wg-quick. C’est le versant technique de la configuration multi-appareils.
Chez Proton, le dépôt officiel installe à la fois l’application graphique et l’outil en ligne de commande, qui ne peuvent pas tourner en même temps. NordLayer impose une règle à ne pas oublier : ne jamais lancer nordlayer avec sudo ni en root. L’installation crée un groupe nordlayer auquel l’utilisateur est ajouté, et il faut se reconnecter à sa session pour que ce groupe soit pris en compte. NordVPN fonctionne de la même façon avec un groupe nordvpn ; sans lui, la commande échoue sur un refus d’accès au socket du service.
VPN sous Linux en ligne de commande : les outils et leurs commandes
| Outil | Se connecter | À savoir |
|---|---|---|
protonvpn (Proton VPN) | protonvpn signin, puis protonvpn connect --country CH | WireGuard seulement ; pas de mode sans interface graphique ni de split tunneling |
nordlayer (NordLayer) | nordlayer login (identifiant d’organisation), puis nordlayer connect <passerelle> | Jamais avec sudo ; prévu pour les postes, pas les serveurs |
nordvpn (NordVPN) | nordvpn login, puis nordvpn connect | Client publié sous GPLv3 depuis mars 2023 |
mullvad (Mullvad) | mullvad account login, puis mullvad connect | mullvad lockdown-mode set on bloque tout hors tunnel |
wg-quick (WireGuard) | sudo wg-quick up wg0 | Lit /etc/wireguard/wg0.conf |
nmcli (NetworkManager) | nmcli conn import type wireguard file proton.conf | WireGuard intégré depuis NetworkManager 1.16 |
Pour NordLayer, nordlayer gateways liste les passerelles de l’organisation, et nordlayer settings set killswitch on active le kill switch ; la documentation Linux de NordLayer détaille aussi la connexion par SSO. Mullvad publie la liste complète de ses sous-commandes dans son guide de l’outil en ligne de commande, du choix du serveur (mullvad relay set location se) à la connexion automatique au démarrage.
Sur un serveur ou une machine sans bureau, l’outil de Proton ne convient pas encore, et NordLayer précise que son application vise les postes clients. La solution passe alors par WireGuard lui-même. Proton permet de générer des fichiers de configuration WireGuard depuis l’espace client, formule gratuite comprise ; on place le fichier dans /etc/wireguard/, on active le tunnel avec sudo wg-quick up, on vérifie avec sudo wg, et systemctl enable wg-quick@<nom> le relance à chaque démarrage. Proton prévient qu’un serveur retiré de son parc oblige à télécharger un nouveau fichier.
Le DNS est un piège documenté sous Linux. wg-quick confie la ligne DNS = de sa configuration à resolvconf, et le rôle peut être tenu par systemd-resolved, qui fournit un mode de compatibilité. Mullvad décrit des requêtes DNS qui cessent de fonctionner quand NetworkManager réécrit /etc/resolv.conf, et recommande d’installer systemd-resolved ; Proton note de son côté que les versions récentes d’Ubuntu ne prennent plus en charge openresolv. Autre nettoyage à connaître : après la désinstallation de l’application de Proton, des connexions NetworkManager nommées pvpn-killswitch peuvent rester actives et couper Internet ; nmcli connection delete pvpn-killswitch les supprime.
Le versant graphique
Tous les postes ne justifient pas le terminal. L’installation des applications graphiques sur chaque système est décrite dans l’installation sur Windows, macOS et Linux.
Le NAS, un Linux qui ne dit pas son nom
Synology et QNAP tournent sous Linux, avec leurs propres interfaces VPN. Leurs possibilités et leurs risques sont réunis dans le VPN sur un NAS.
Le port à ouvrir pour WireGuard
Un tunnel WireGuard n’utilise que l’UDP, sur un port choisi par le service. Les ports de chaque protocole sont réunis dans les ports VPN à ouvrir sur un pare-feu.