VPN et pare-feu d'entreprise : les ports à ouvrir, protocole par protocole
Ou : un VPN qui ne passe pas le pare-feu du bureau n’est pas en panne, il est filtré.
La réponse courte : chaque protocole VPN utilise ses propres ports, et un pare-feu qui ne les connaît pas bloque la connexion sans message clair. IKEv2 a besoin d’UDP 500 et d’UDP 4500 ; OpenVPN utilise par défaut le port 1194, attribué par l’IANA, et souvent TCP 443 en repli ; WireGuard ne fonctionne qu’en UDP, sur un port que chaque service choisit librement. Les fournisseurs brouillent encore les pistes : Proton VPN répartit ses connexions WireGuard sur plusieurs ports, dont 443, et NordLayer fait passer OpenVPN en TCP sur le port 8443 plutôt que 443. Avant d’ouvrir quoi que ce soit, il faut donc savoir quel protocole le client utilise réellement. C’est un obstacle concret de la configuration multi-appareils dans une entreprise.
Il y a deux situations distinctes, et on les confond facilement. Dans la première, un salarié se connecte depuis un réseau qu’il ne gère pas, celui d’un client, d’un hôtel ou d’un site industriel, qui filtre le trafic sortant : c’est le VPN qui doit trouver un port autorisé. Dans la seconde, l’entreprise héberge sa propre passerelle VPN, et c’est son pare-feu qui doit accepter les connexions entrantes sur les ports du protocole choisi, et seulement ceux-là.
Les ports VPN à ouvrir sur un pare-feu d’entreprise
| Protocole | Ports | À savoir |
|---|---|---|
| IKEv2/IPsec | UDP 500, UDP 4500 ; protocole IP 50 (ESP) sans traduction d’adresses | TCP 4500 possible, s’il est prévu des deux côtés |
| OpenVPN | 1194 en UDP par défaut ; TCP 443 en repli | NordLayer : TCP 8443 et UDP 1194 |
| WireGuard | UDP seulement, port libre (51820 dans la documentation) | Aucun mode TCP natif |
| L2TP/IPsec | UDP 1701, plus les ports d’IPsec | Protocole ancien |
| PPTP | TCP 1723 et protocole IP 47 (GRE) | Protocole ancien |
| SSTP | TCP 443 | Protocole propre à Microsoft |
La norme d’IKEv2, la RFC 7296, précise qu’IKE écoute sur UDP 500 et bascule sur UDP 4500 dès qu’un routeur qui traduit les adresses est détecté entre les deux extrémités, ce qui est le cas derrière une box Internet ordinaire ou un réseau d’entreprise. Un détail prête à confusion, jusque sur une page commerciale de NordLayer qui attribue à IKEv2 les ports UDP 500, 50 et 4500 : le 50 n’est pas un port, mais le numéro du protocole ESP, que le pare-feu doit laisser passer quand il n’y a pas de traduction d’adresses. WireGuard, lui, n’a aucun port réservé : le 51820 qu’on voit souvent n’est qu’un exemple de sa documentation, et le projet écrit dans ses limites connues qu’il ne prend pas en charge le tunnel en TCP, laissant ce travail à une couche d’obfuscation.
Côté fournisseurs, les informations sont éparses. Proton VPN ne publie pas de page listant ses ports, mais sa configuration, que ses applications téléchargent, prévoit pour WireGuard les ports UDP 443, 88, 1224, 51820, 500 et 4500, plus TCP 443 et son mode Stealth sur 443. Sa page consacrée à UDP et TCP résume la logique : la sélection automatique essaie toujours UDP d’abord, et le port TCP par défaut est celui du trafic HTTPS, « difficile à bloquer ». NordLayer documente ses ports OpenVPN, TCP 8443 et UDP 1194, mais pas celui de NordLynx, son protocole fondé sur WireGuard ; il a retiré IKEv2 de ses applications en juin 2024. NordVPN, du même groupe, indique UDP 51820 pour NordLynx.
Un cas courant en déplacement est un réseau qui ne laisse sortir que le web, ports 80 et 443. OpenVPN en TCP 443, que la documentation d’OpenVPN présente comme souvent autorisé par les pare-feu, et le mode Stealth de Proton sont faits pour ce cas ; Mullvad propose de son côté QUIC sur UDP 443 ou un transport UDP sur TCP, sur les ports 80 ou 443. Le TCP 8443 de NordLayer, en revanche, risque d’être filtré sur un tel réseau. Les techniques d’obfuscation, qui déguisent le tunnel en trafic web ordinaire, relèvent d’une autre page de ce guide, consacrée aux protocoles.
Pour une passerelle hébergée par l’entreprise, la règle tient en une phrase : ouvrir le port du protocole retenu, et rien d’autre. Une passerelle WireGuard n’a besoin que d’un port UDP ; une passerelle IKEv2, d’UDP 500 et 4500. La CNIL rappelle en outre qu’aucune interface d’administration ne doit être accessible directement depuis Internet.
Quand la connexion échoue quand même
Un port bloqué n’est qu’une des causes d’un VPN qui refuse de se connecter. Les autres, de l’heure système au portail captif, sont passées en revue dans le dépannage d’un VPN qui ne se connecte pas.
Imposer le bon protocole à toute la flotte
Choisir le protocole poste par poste n’a pas de sens au-delà de quelques appareils. Le préréglage centralisé est expliqué dans le déploiement d’un VPN par MDM.
Installer le client sur l’ordinateur
Le client doit être installé correctement avant de parler de ports. La procédure pour chaque système est décrite dans l’installation sur Windows, macOS et Linux.