Ce qui se passe dans le tunnel, et ce qui passe à côté

Ou : un VPN se juge moins à sa publicité qu’à ce qui sort de l’ordinateur quand il se déconnecte.

Vous voulez comprendre ce que fait votre VPN, ou vérifier qu’il le fait vraiment, et le vocabulaire technique ne facilite rien : protocole, kill switch, split tunneling, fuite DNS, obfuscation, double VPN, sans compter les noms maison des fournisseurs. Tout se ramène pourtant à deux questions. La première porte sur le tunnel lui-même : quel protocole le construit, WireGuard, OpenVPN ou IKEv2, et avec quel chiffrement. La seconde, plus importante en pratique, porte sur ce qui passe à côté : les requêtes DNS, le trafic IPv6, les adresses que révèle le navigateur, et tout ce qui sort pendant les quelques secondes où le tunnel tombe. Un VPN bien choisi sur le papier peut échouer sur la seconde question. Cette page présente les réglages et les vérifications ; les critères de fond, juridiction et audits compris, sont réunis dans le guide pour choisir un VPN professionnel.

Le NIST, dans son guide des VPN IPsec révisé en 2020, distingue trois architectures principales : de passerelle à passerelle, qui relie deux réseaux comme un siège et une agence ; l’accès distant, qui relie un appareil isolé au réseau d’une organisation ; et d’hôte à hôte, qui relie deux machines précises. Le corps du document ajoute le maillage. Un VPN grand public reprend techniquement le modèle de l’accès distant, avec une différence d’usage : il ne vous fait pas entrer dans un réseau d’entreprise, il vous fait sortir sur Internet depuis ses serveurs.

Les noms commerciaux ajoutent une couche de confusion, alors qu’ils désignent le plus souvent des variantes. NordLynx est WireGuard, complété par NordVPN d’une double traduction d’adresses pour ne pas conserver d’adresse interne fixe par utilisateur. Lightway est un protocole propre à ExpressVPN, construit sur la bibliothèque wolfSSL, publié en logiciel libre en 2021 et audité par Cure53. Secure Core est la fonction multi-serveurs de Proton, Stealth son protocole de contournement de la censure, NordWhisper celui de NordVPN. Aucun de ces noms ne dit à lui seul si le VPN protège bien.

Protocole VPN, kill switch et fuites : ce qu’il faut régler et vérifier

Le tableau se lit du haut vers le bas : les cinq premières lignes concernent tout le monde, les deux dernières des situations particulières. Les fuites ne sont pas une question d’ancienneté. En 2015, une étude sur quatorze VPN montrait que la plupart des logiciels pour ordinateur laissaient passer tout le trafic IPv6 ; en 2023, l’attaque TunnelCrack, présentée par une équipe dont fait partie un chercheur de la KU Leuven, faisait fuiter du trafic chez tous les VPN testés sur iPhone ; en 2024, la faille TunnelVision détournait le trafic hors du tunnel par une simple option du réseau Wi-Fi. La plupart de ces vérifications prennent quelques minutes, avec des outils gratuits. Les neuf pages qui suivent détaillent chaque réglage.

Le protocole qui construit le tunnel

WireGuard est devenu le choix par défaut, OpenVPN reste le plus souple, et l’ANSSI recommande IKEv2 pour l’accès distant des entreprises. Leur histoire, leur cryptographie et les retraits annoncés sont comparés dans WireGuard contre OpenVPN.

Le coupe-circuit

Un kill switch réactif coupe Internet après la chute du tunnel, un kill switch système l’interdit en permanence. Ce que font les fournisseurs, et ce qu’Android et iOS laissent passer, est expliqué dans le kill switch et comment le tester.

Les exceptions volontaires

Sortir une application bancaire ou une imprimante du tunnel est commode, et proscrit par l’ANSSI sur un poste nomade. Les usages et les risques sont réunis dans le split tunneling et ses usages.

Les noms de domaine qui s’échappent

Une fuite DNS envoie la liste des sites consultés au fournisseur d’accès. Les outils de test et les corrections sont présentés dans la fuite DNS, détectée et corrigée.

Les adresses qui passent à côté

IPv6, WebRTC et routes piégées révèlent directement une adresse, malgré un tunnel actif. Les vérifications et les parades sont décrites dans les fuites IPv6 et WebRTC.

Son propre serveur

Un VPN auto-hébergé sur un serveur loué coûte quelques euros par mois, mais sort par une adresse rattachée à votre identité. La comparaison avec un service est faite dans WireGuard sur un VPS face à un service VPN.

Toute la maison d’un coup

Un routeur peut servir de serveur pour accéder à la maison ou de client pour faire passer tous les appareils par un fournisseur. Les équipements et leurs limites sont présentés dans le VPN installé sur le routeur.

Quand le réseau bloque le VPN

Hôtels, campus ou pays qui filtrent savent reconnaître un tunnel. Les protocoles furtifs qui le déguisent sont décrits dans l’obfuscation quand le VPN est bloqué.

Deux serveurs au lieu d’un

Le double VPN sépare l’adresse et le trafic entre deux serveurs, au prix de la vitesse. Son intérêt réel est évalué dans le double VPN, utile ou gadget.

Les autres volets du guide

• les VPN comparés deux à deux
• le droit du pays du fournisseur
• le VPN d’une équipe en télétravail
• les Wi-Fi publics et les déplacements
• ce que coûte réellement un abonnement
• les exigences réglementaires des PME
• les idées reçues sur le VPN
• l’installation sur chaque appareil
• les protections qui complètent le tunnel