# Un VPN sous Linux en ligne de commande : Proton, NordLayer, Mullvad et WireGuard

> Le nouvel outil en ligne de commande de Proton VPN, celui de NordLayer, de NordVPN et de Mullvad, puis WireGuard sans aucune application avec wg-quick ou NetworkManager : les commandes utiles, les limites de chaque outil et les pièges du DNS.


*Ou : trois commandes suffisent, à condition de savoir laquelle ne pas lancer avec sudo.*

La réponse courte : les principaux fournisseurs ont tous un outil en ligne de commande sous Linux, et Proton VPN a de nouveau le sien. En 2023, Proton n'avait plus de client officiel en terminal et renvoyait vers une configuration manuelle ; il a publié une première version en novembre 2025, puis sa [première version stable](https://github.com/ProtonVPN/proton-vpn-cli), 1.0.0, le 7 avril 2026, sous licence libre GPLv3. On s'y connecte avec `protonvpn signin`, puis `protonvpn connect --country CH` ; il n'utilise que WireGuard et ne fonctionne pas encore sur une machine sans interface graphique. NordLayer se pilote par la commande `nordlayer`, NordVPN par `nordvpn`, Mullvad par `mullvad`. Et pour un serveur, WireGuard se configure sans aucune application, avec un fichier et `wg-quick`. C'est le versant technique de [la configuration multi-appareils](/guides/vpn-professionnel/installer-configurer-vpn/).

Chez Proton, le dépôt officiel installe à la fois l'application graphique et l'outil en ligne de commande, qui ne peuvent pas tourner en même temps. NordLayer impose une règle à ne pas oublier : ne jamais lancer `nordlayer` avec `sudo` ni en root. L'installation crée un groupe `nordlayer` auquel l'utilisateur est ajouté, et il faut se reconnecter à sa session pour que ce groupe soit pris en compte. NordVPN fonctionne de la même façon avec un groupe `nordvpn` ; sans lui, la commande échoue sur un refus d'accès au socket du service.

## VPN sous Linux en ligne de commande : les outils et leurs commandes

| Outil | Se connecter | À savoir |
|---|---|---|
| `protonvpn` (Proton VPN) | `protonvpn signin`, puis `protonvpn connect --country CH` | WireGuard seulement ; pas de mode sans interface graphique ni de split tunneling |
| `nordlayer` (NordLayer) | `nordlayer login` (identifiant d'organisation), puis `nordlayer connect <passerelle>` | Jamais avec `sudo` ; prévu pour les postes, pas les serveurs |
| `nordvpn` (NordVPN) | `nordvpn login`, puis `nordvpn connect` | Client publié sous GPLv3 depuis mars 2023 |
| `mullvad` (Mullvad) | `mullvad account login`, puis `mullvad connect` | `mullvad lockdown-mode set on` bloque tout hors tunnel |
| `wg-quick` (WireGuard) | `sudo wg-quick up wg0` | Lit `/etc/wireguard/wg0.conf` |
| `nmcli` (NetworkManager) | `nmcli conn import type wireguard file proton.conf` | WireGuard intégré depuis NetworkManager 1.16 |

Pour NordLayer, `nordlayer gateways` liste les passerelles de l'organisation, et `nordlayer settings set killswitch on` active le kill switch ; la [documentation Linux de NordLayer](https://help.nordlayer.com/docs/nordlayer-application-usage-on-linux) détaille aussi la connexion par SSO. Mullvad publie la liste complète de ses sous-commandes dans son [guide de l'outil en ligne de commande](https://mullvad.net/en/help/how-use-mullvad-cli), du choix du serveur (`mullvad relay set location se`) à la connexion automatique au démarrage.

Sur un serveur ou une machine sans bureau, l'outil de Proton ne convient pas encore, et NordLayer précise que son application vise les postes clients. La solution passe alors par WireGuard lui-même. Proton permet de générer des fichiers de configuration WireGuard depuis l'espace client, formule gratuite comprise ; on place le fichier dans `/etc/wireguard/`, on active le tunnel avec `sudo wg-quick up`, on vérifie avec `sudo wg`, et `systemctl enable wg-quick@<nom>` le relance à chaque démarrage. Proton prévient qu'un serveur retiré de son parc oblige à télécharger un nouveau fichier.

![Illustration : une grande lanterne allumée dans la salle vide d'un phare](/images/vpn-linux-ligne-de-commande-phare.original.webp "Sur un serveur sans bureau, WireGuard tourne seul, sans application ni gardien.")

Le DNS est un piège documenté sous Linux. `wg-quick` confie la ligne `DNS =` de sa configuration à `resolvconf`, et le rôle peut être tenu par systemd-resolved, qui fournit un mode de compatibilité. Mullvad décrit des requêtes DNS qui cessent de fonctionner quand NetworkManager réécrit `/etc/resolv.conf`, et recommande d'installer systemd-resolved ; Proton note de son côté que les versions récentes d'Ubuntu ne prennent plus en charge openresolv. Autre nettoyage à connaître : après la désinstallation de l'application de Proton, des connexions NetworkManager nommées `pvpn-killswitch` peuvent rester actives et couper Internet ; `nmcli connection delete pvpn-killswitch` les supprime.

### Le versant graphique

Tous les postes ne justifient pas le terminal. L'installation des applications graphiques sur chaque système est décrite dans [l'installation sur Windows, macOS et Linux](/guides/vpn-professionnel/installer-configurer-vpn/installer-vpn-windows-macos-linux/).

### Le NAS, un Linux qui ne dit pas son nom

Synology et QNAP tournent sous Linux, avec leurs propres interfaces VPN. Leurs possibilités et leurs risques sont réunis dans [le VPN sur un NAS](/guides/vpn-professionnel/installer-configurer-vpn/vpn-nas-synology-qnap/).

### Le port à ouvrir pour WireGuard

Un tunnel WireGuard n'utilise que l'UDP, sur un port choisi par le service. Les ports de chaque protocole sont réunis dans [les ports VPN à ouvrir sur un pare-feu](/guides/vpn-professionnel/installer-configurer-vpn/vpn-pare-feu-entreprise-ports/).


---

Cette page contient des liens d'affiliation. Si tu souscris via ces liens, je peux toucher une commission sans coût supplémentaire pour toi. Mon avis reste indépendant et s'appuie sur les audits publiés, la documentation officielle des fournisseurs et les tarifs vérifiés à la date de rédaction.