# Faire passer une partie du trafic hors du tunnel : quand c'est utile, quand c'est proscrit

> Le split tunneling exclut certaines applications ou adresses du tunnel VPN. Banque, imprimante, visioconférence : ses usages légitimes, ses variantes chez Proton, Mullvad et NordVPN, et pourquoi l'ANSSI le proscrit sur un poste professionnel nomade.


*Ou : ouvrir une porte dérobée dans son propre tunnel, en connaissance de cause.*

La réponse courte : le split tunneling, ou tunnel partagé, consiste à ne faire passer par le VPN qu'une partie du trafic, le reste sortant directement par la connexion habituelle. Le NIST le définit, dans son [guide sur le télétravail](https://csrc.nist.gov/pubs/sp/800/46/r2/final), comme la fonction qui fait passer par le tunnel les échanges avec les ressources internes de l'organisation et en exclut tout le reste. L'ANSSI l'oppose au « full tunneling », où tous les flux passent par le VPN. Côté particulier, c'est une commodité : laisser l'application bancaire utiliser votre adresse réelle, garder l'imprimante du salon accessible, réduire la latence d'un jeu. Côté entreprise, c'est une exception à justifier. C'est l'un des réglages qui déterminent ce que protège réellement [le tunnel VPN](/guides/vpn-professionnel/protocoles-vpn-technique/).

La contrepartie est écrite noir sur blanc par les fournisseurs. Mullvad avertit dans son [guide du split tunneling](https://mullvad.net/en/help/split-tunneling-with-the-mullvad-app) que le trafic des applications exclues ne passe pas par le VPN et que votre adresse IP est alors exposée. Une application exclue échappe aussi, chez Mullvad, au blocage du mode verrouillé : le kill switch ne la couvre plus.

## Split tunneling : les usages légitimes et ceux à proscrire

Les variantes se ressemblent d'un fournisseur à l'autre. Mullvad a retenu un seul critère, l'application qui émet la requête, et ne propose pas la fonction sur iPhone, où le système ne le permet pas. Proton permet d'exclure ou d'inclure des applications et des adresses IP sous Windows et Android, et des domaines dans son extension de navigateur. NordVPN propose sur Linux une liste d'autorisation par ports ou par sous-réseaux.

| Situation | Split tunneling ? | Pourquoi |
|---|---|---|
| Poste professionnel en télétravail | Non, sauf exception analysée | Proscrit par l'ANSSI, fortement déconseillé par le NIST |
| Banque qui refuse les connexions par VPN | Oui, en excluant son application | C'est précisément l'adresse réelle que la banque veut voir |
| Imprimante ou NAS du domicile | Plutôt l'accès au réseau local | Fonction distincte, activée par défaut chez Proton, désactivée chez Mullvad |
| Visioconférence professionnelle | À évaluer avec l'informatique | Cas reconnu par l'ANSSI, sous conditions strictes |
| Jeu en ligne | Possible | Réduire la latence, au prix de l'exposition de l'adresse |

La position des autorités est nette pour le monde professionnel. Dans ses [recommandations sur le nomadisme numérique](https://messervices.cyber.gouv.fr/guides/recommandations-sur-le-nomadisme-numerique), révisées en novembre 2023, l'ANSSI écrit que le split tunneling doit être proscrit sur le poste nomade de l'utilisateur, parce qu'un poste connecté à la fois au réseau de l'entreprise et à Internet peut servir de rebond à un attaquant. Elle admet un mode dégradé, après analyse de risque, pour des applications en temps réel comme la visioconférence, à condition de respecter dix règles de configuration strictes, et jamais pour les postes d'administration. Le NIST le juge fortement déconseillé dans son guide des VPN IPsec, tout en reconnaissant ses avantages : moins de bande passante consommée par l'entreprise, et parfois des raisons juridiques de ne pas faire transiter le trafic personnel des salariés.

![Illustration : une porte voûtée barrée d'une planche, la lumière filtrant par les interstices](/images/split-tunneling-quand-utiliser-voie-barree.original.webp "Sur un poste professionnel nomade, l'ANSSI ferme la voie de côté.")

Un détail technique rassure en partie : chez Mullvad, selon une explication publiée en 2021, les requêtes DNS des applications exclues continuent de passer par le tunnel. Un autre inquiète : selon la norme qui encadre WebRTC, un VPN en tunnel partagé peut laisser un site découvrir l'adresse publique du fournisseur d'accès en plus de celle du VPN.

### Quand le tunnel tombe

Les applications exclues ne sont pas protégées par le coupe-circuit chez tous les fournisseurs. Le fonctionnement et les limites du kill switch sont décrits dans [le kill switch et comment le tester](/guides/vpn-professionnel/protocoles-vpn-technique/kill-switch-vpn-fonctionnement/).

### L'adresse que le navigateur trahit

WebRTC, la technologie des appels vidéo dans le navigateur, peut révéler l'adresse réelle quand le tunnel est partagé. Les réglages qui l'empêchent sont expliqués dans [les fuites IPv6 et WebRTC](/guides/vpn-professionnel/protocoles-vpn-technique/fuites-ipv6-webrtc-vpn/).

### Les requêtes DNS, dans ou hors du tunnel

Un split tunneling mal réglé peut envoyer des requêtes DNS au fournisseur d'accès. La vérification se fait avec les outils présentés dans [le test de fuite DNS](/guides/vpn-professionnel/protocoles-vpn-technique/fuite-dns-detecter-corriger/).


---

Cette page contient des liens d'affiliation. Si tu souscris via ces liens, je peux toucher une commission sans coût supplémentaire pour toi. Mon avis reste indépendant et s'appuie sur les audits publiés, la documentation officielle des fournisseurs et les tarifs vérifiés à la date de rédaction.