Quand le réseau refuse le VPN : obfuscation et protocoles furtifs
Ou : chiffrer le contenu ne suffit pas quand c’est l’enveloppe qu’on reconnaît.
La réponse courte : un VPN chiffre le contenu du trafic, mais sa forme reste reconnaissable, et un réseau qui veut le bloquer peut le faire. L’obfuscation, que les fournisseurs appellent aussi mode furtif ou « stealth », déguise le tunnel en trafic ordinaire, le plus souvent en connexion web chiffrée. Deux situations y mènent. La plus fréquente en Europe est un réseau local restrictif : Mullvad écrit que l’UDP est bloqué sur de nombreux réseaux publics, dans les cafés ou les trains, et NordVPN cite les universités, les entreprises et les hôtels. L’autre est la censure d’État. Dans les deux cas, WireGuard ne se défend pas seul : sa page officielle sur ses limites connues précise qu’il ne cherche pas à se dissimuler et que c’est le rôle d’une couche supérieure. C’est le dernier recours de la palette des protocoles VPN.
La détection est un domaine de recherche actif. Une équipe de l’université du Michigan a montré en 2022 qu’il était possible d’identifier plus de 85 % des connexions OpenVPN sur le réseau d’un fournisseur d’accès, et 34 des 41 configurations présentées comme « obscurcies ». En Chine, une étude présentée en 2023 a établi que la grande muraille détecte depuis novembre 2021 le trafic entièrement chiffré en temps réel, par de simples statistiques sur les octets, au prix d’environ 0,6 % de trafic légitime bloqué par erreur. En Russie, l’ONG Freedom House fait état de signalements de blocages d’OpenVPN et de WireGuard par les opérateurs mobiles dès 2023.
Protocole furtif et obfuscation : ce que proposent les fournisseurs
| Fournisseur | Nom de la fonction | Principe annoncé |
|---|---|---|
| Proton VPN | Stealth | WireGuard encapsulé dans une connexion TLS, lancé en octobre 2022 |
| NordVPN | NordWhisper, serveurs obscurcis | Tunnel web qui ressemble à du trafic Internet ordinaire |
| Surfshark | NoBorders et obfuscation OpenVPN | Détection automatique des restrictions, OpenVPN modifié |
| Windscribe | Stealth, WStunnel | OpenVPN dans TLS ou dans WebSocket, y compris sur le port 443 |
| Mullvad | UDP sur TCP, Shadowsocks, QUIC, LWO | Quatre méthodes ajoutées à WireGuard entre 2021 et 2025 |
| ExpressVPN | Obfuscation automatique | Pas de détail technique publié |
Ces fonctions ne visent pas toutes le même adversaire. NordVPN précise que NordWhisper cible les blocages locaux, dans les aéroports, les cafés ou les conférences, et non les contrôles nationaux. Mullvad a multiplié les méthodes pour la raison inverse : ce qui passe un pare-feu d’hôtel ne passe pas forcément un filtrage d’État, et ce qui passe aujourd’hui peut être repéré demain. Les ports fixes d’IKEv2 en sont l’exemple : Proton explique retirer ce protocole en partie parce que ses ports sont faciles à repérer et à bloquer.
Deux mises en garde s’imposent. Mullvad rappelle qu’activer une méthode anti-censure n’améliore pas la confidentialité : elle change la forme du trafic, pas ce que voit le fournisseur. Et dans les pays qui interdisent les VPN non autorisés, comme l’Iran depuis février 2024 selon Freedom House, le déguisement réduit le risque d’être bloqué, pas le risque juridique.
Le protocole de départ
L’obfuscation s’ajoute à un protocole de base, WireGuard dans la plupart des cas. Ses forces et ses limites face à OpenVPN sont comparées dans WireGuard contre OpenVPN.
Deux serveurs plutôt qu’un déguisement
Le multi-hop répond à une autre question : qui peut relier votre adresse à votre trafic. Son intérêt réel est évalué dans le double VPN, utile ou gadget.
Un serveur personnel, une seule adresse
Un VPN auto-hébergé sort par l’adresse unique d’un serveur loué, ce qui le rend simple à identifier sur un réseau filtré. Ses avantages et ses limites sont décrits dans WireGuard sur un VPS face à un service VPN.