Split Tunneling

Inverse Split Tunneling

L'Inverse Split Tunneling (ou Split Tunneling Exclusion) est une variante où tout le trafic passe par le VPN SAUF les exceptions explicitement définies (contrairement au split tunneling classique où seules les destinations définies passent par le VPN). Cette approche est plus sûre car elle est "secure by default" — si une destination n'est pas dans la liste d'exclusion, elle passe par le VPN. Les exclusions typiques incluent les IPs des CDN Microsoft 365 (publiées par Microsoft dans une liste XML/JSON régulièrement mise à jour), les services de collaboration comme Zoom et Teams, et les services DNS cloud. Cisco AnyConnect, Palo Alto GlobalProtect, et Zscaler Client Connector supportent l'inverse split tunneling avec des listes d'exclusion dynamiques mises à jour automatiquement.

Risques sécurité du split tunneling

Le split tunneling présente des risques sécurité à évaluer. Un hôte avec le split tunneling activé est connecté simultanément au réseau interne de l'entreprise (via le VPN) et à Internet direct. Si l'hôte est compromis par un malware (via un téléchargement direct non filtré par le proxy entreprise), le malware peut potentiellement atteindre le réseau interne via le tunnel VPN actif — le poste infecté devient un pont entre Internet et l'intranet. Contre-mesures : EDR sur tous les endpoints (pour détecter le malware même sans filtrage proxy centralisé), DNS sinkhole cloud (Umbrella, Cloudflare Gateway) qui protège le trafic direct en filtrant les domaines malveillants même sans passer par le proxy entreprise, et Network Access Control (NAC) qui vérifie la conformité du poste avant d'autoriser l'accès intranet via VPN.

Split Tunneling dans les architectures SASE

Dans une architecture SASE (Secure Access Service Edge), la distinction split/full tunnel devient moins pertinente car les deux chemins (VPN intranet et Internet direct) passent par un Service Edge cloud qui applique les politiques de sécurité. L'agent ZTNA/SASE (Zscaler Client Connector, Cloudflare WARP, Palo Alto Prisma) route automatiquement le trafic : les ressources privées (intranet, applications internes) via ZTNA Private Access, le trafic Internet via SWG (Secure Web Gateway) cloud avec filtrage URL et inspection SSL — sans que l'utilisateur ni l'équipe IT n'aient à gérer manuellement des routes split tunnel. Cette approche offre la flexibilité des performances du split tunneling avec les contrôles de sécurité du full tunnel, le tout géré depuis une console cloud unifiée.