VPN (Virtual Private Network)
generalDéfinition
Un VPN (Virtual Private Network — Réseau Privé Virtuel) est une technologie qui crée un tunnel chiffré entre un appareil et un réseau distant, permettant de sécuriser les communications sur des réseaux non fiables (Internet), d'accéder à des ressources internes d'une organisation depuis l'extérieur, ou de masquer l'adresse IP réelle de l'utilisateur. Les VPN d'entreprise s'articulent autour de deux architectures principales. Le Remote Access VPN permet aux employés de se connecter au réseau de l'entreprise depuis n'importe quel endroit, leur donnant accès aux ressources internes comme s'ils étaient physiquement au bureau. Le Site-to-Site VPN interconnecte de manière permanente plusieurs sites géographiques d'une organisation (branches, datacenters), remplaçant les lignes dédiées coûteuses. Les protocoles VPN les plus courants incluent IPsec (Internet Protocol Security), standard robuste utilisé dans les VPN site-à-site et certains clients d'entreprise, avec deux modes (tunnel pour les réseaux, transport pour les hôtes) et deux protocoles (AH pour l'authenticité, ESP pour le chiffrement). SSL VPN utilise TLS pour le tunnel, plus facile à déployer (fonctionne sur HTTPS sortant port 443) et compatible avec les pare-feux restrictifs. WireGuard est le protocole moderne recommandé : cryptographiquement élégant (utilise Curve25519, ChaCha20, Poly1305), code minimal (~4000 lignes vs 400 000 pour OpenVPN), très performant, et intégré dans le noyau Linux depuis 5.6. Les VPN traditionnels présentent des limitations architecturales dans le contexte Zero Trust : une fois connecté au VPN, l'utilisateur accède souvent à l'intégralité du réseau interne — violation du moindre privilège. Cette limitation est adressée par le ZTNA (Zero Trust Network Access) qui remplace progressivement les VPN d'entreprise en accordant des accès granulaires application par application, avec vérification continue du contexte (posture du device, localisation, comportement). Les VPN grand public (NordVPN, ExpressVPN, Mullvad) ont un usage différent des VPN d'entreprise : ils masquent l'IP réelle de l'utilisateur, chiffrent le trafic vis-à-vis de l'ISP, et permettent de contourner la géo-restriction. Ils ne fournissent pas d'anonymat absolu et transfèrent la confiance vers le fournisseur VPN.
IPsec vs SSL VPN vs WireGuard — comparaison
IPsec est le protocole VPN de référence pour les connexions site-à-site, supporté nativement par tous les équipements réseau (Cisco, Juniper, Palo Alto, Fortinet). Il opère au niveau IP (Layer 3), transparent pour les applications. Sa complexité de configuration est élevée (IKEv1/IKEv2, SA proposals, Pre-Shared Keys ou certificats). OpenVPN (basé sur TLS) est flexible, fonctionne sur TCP/UDP et traverse facilement les NAT et les firewalls, mais son code C (~600 000 lignes) est plus difficile à auditer. WireGuard (intégré Linux kernel) est le recommandé pour les nouveaux déploiements : configuration minimale, performances excellentes, latence de reconnexion quasi-nulle, et code auditable. Tailscale et Netmaker facilitent le déploiement WireGuard à grande échelle en ajoutant une couche de coordination.
Split Tunneling et Full Tunnel — compromis sécurité/performance
En Split Tunneling, seul le trafic à destination du réseau d'entreprise passe par le VPN ; le reste (navigation web, streaming) sort directement par l'ISP local. Avantage : meilleures performances, économies de bande passante centrale. Inconvénient : le poste VPN peut être vecteur de menaces si son trafic non tunnelé le compromet, et l'entreprise ne voit pas ce trafic. En Full Tunnel, tout le trafic de l'utilisateur transite par le VPN et sort par les équipements de sécurité centraux (proxy, NGFW, inspection). Avantage : visibilité et contrôle total du trafic utilisateur. Inconvénient : bande passante centrale plus importante, latence accrue pour les services cloud. Avec le SASE, ce dilemme est résolu : les règles de sécurité suivent l'utilisateur via un PoP cloud proche.