VPN : échange de données sécurisé via des réseaux publics

Un VPN (Virtual Private Network, « réseau privé virtuel » en français) crée un tunnel chiffré à travers un réseau public comme Internet : les données y circulent à l’abri des regards, comme sur une ligne privée. Les en­tre­prises s’en servent pour relier leurs sites et ouvrir leur réseau au té­lé­tra­vail, les par­ti­cu­liers pour sécuriser leur connexion, par exemple sur un réseau Wi-Fi public. Cet article explique comment fonc­tionne un VPN, quels types de con­fi­gu­ra­tion existent, quels pro­to­coles sont utilisés et ce qu’un VPN ne garantit pas.

Résumé ⓘ

• Un VPN relie des appareils ou des réseaux par un tunnel chiffré sur un réseau public, sans ligne dédiée.
• Trois scénarios existent : Site-to-Site, End-to-Site (accès distant) et End-to-End.
• Les pro­to­coles actuels sont IPsec avec IKEv2, OpenVPN et WireGuard ; L2TP/IPsec est plus ancien.
• Un VPN protège la trans­mis­sion des données, pas l’identité : il ne vous rend pas anonyme.
• En en­tre­prise, le VPN est de plus en plus complété par une approche Zero Trust.
• L’usage d’un VPN est légal en France ; le RGPD s’applique aux données qui y tran­si­tent.

Qu’est-ce qu’un VPN ?

Un Virtual Private Network (VPN ou réseau privé virtuel en français) est un réseau de com­mu­ni­ca­tion virtuel, établi sur un réseau physique mais lo­gi­que­ment séparé de ce dernier. Pour garantir la con­fi­den­tia­lité des données lors de leur trans­mis­sion sur une ligne publique, un VPN au­then­ti­fie les par­ti­ci­pants et chiffre les échanges. On parle dans ce contexte de tunneling (tunnel en français), étant donné que les données trans­mises sur un VPN ne sont pas lisibles par les autres acteurs du réseau public sous-jacent. Un VPN permet par con­sé­quent un transport sécurisé de données sensibles sur une connexion qui n’est pas digne de confiance, ainsi qu’une al­ter­na­tive éco­no­mique aux liaisons louées.

Quels sont les scénarios d’uti­li­sa­tion d’un VPN ?

Trois types de con­fi­gu­ra­tion se pré­sen­tent : le maillage de deux en­tre­prises ou plus sur un réseau public (Site-to-Site-VPN), l’accès à un réseau d’en­tre­prise depuis le domicile ou en dé­pla­ce­ment (End-to-Site-VPN) et l’accès à distance d’un or­di­na­teur à un autre (End-to-End-VPN).

Site-to-Site-VPN

Un Site-to-Site-VPN est utilisé lorsque plusieurs réseaux locaux doivent être reliés entre eux via un réseau public. Un tel scénario est par exemple ima­gi­nable pour relier dif­fé­rents sites d’une en­tre­prise (suc­cur­sales et autres im­plan­ta­tions). Ce maillage peut aussi prendre la forme d’un Corporate Network (CN), reposant sur une connexion privée : il faut alors louer l’in­fras­truc­ture cor­res­pon­dante. Une connexion VPN utilise quant à elle un réseau public et n’entraîne que les frais de la connexion Internet. La mise en place d’un Site-to-Site-VPN suppose un routeur ou un pare-feu VPN à chaque em­pla­ce­ment, de manière à créer un tunnel VPN entre ces réseaux locaux. D’autres dé­no­mi­na­tions pour le Site-to-Site-VPN sont LAN-to-LAN-VPN ou Branch-Office-VPN.

End-to-Site-VPN

Les en­tre­prises recourent à l’End-to-Site-VPN lorsque le réseau d’en­tre­prise doit également être ac­ces­sible aux employés tra­vail­lant depuis chez eux ou en dé­pla­ce­ment. Le tunnel vers le réseau local est construit par un client VPN installé sur l’appareil de l’employé. Internet joue ici le rôle de moyen de transport. Les employés accèdent ainsi, depuis n’importe quelle connexion Internet, au réseau de leur société, donc aux serveurs de fichiers et de mes­sa­ge­rie ainsi qu’aux logiciels métier. Un End-to-Site-VPN est aussi parfois appelé Remote-Access-VPN.

End-to-End-VPN

Si l’accès à distance ne s’effectue pas vers un réseau local, mais seulement d’un or­di­na­teur vers un autre, on parle d’End-to-End-VPN. Le scénario d’uti­li­sa­tion classique est Remote Desktop : une ap­pli­ca­tion s’exécute sur un or­di­na­teur, tandis que son affichage et sa commande se font sur un autre. Le mode de transport peut être Internet ou un réseau local d’en­tre­prise. Un employé utilise par exemple ce type de VPN pour accéder à l’or­di­na­teur de son bureau depuis son domicile. Un service de bureau à distance ne devrait pas être exposé di­rec­te­ment sur Internet ; le faire passer par un VPN est la pratique usuelle.

Mise en place technique d’un VPN : quels pro­to­coles choisir ?

Dif­fé­rents pro­to­coles per­met­tent d’établir une connexion VPN chiffrée. Les solutions actuelles reposent surtout sur IPsec (avec IKEv2), OpenVPN et WireGuard ; L2TP sur IPsec reste répandu pour des raisons de com­pa­ti­bi­lité.

VPN avec IPsec

Internet Protocol Security (IPsec) est une suite de pro­to­coles qui permet une com­mu­ni­ca­tion sécurisée sur des réseaux IP qui ne sont pas dignes de confiance. La con­fi­den­tia­lité, l’au­then­ti­cité et l’intégrité des données sont assurées par un chif­fre­ment et par des mé­ca­nismes d’au­then­ti­fi­ca­tion. IPsec est étroi­te­ment lié aux travaux sur IPv6 et fonc­tionne aussi bien avec IPv4 qu’avec IPv6. Pour l’échange des clés, IKEv2 (Internet Key Exchange, version 2) est la version courante.

L2TP sur IPsec

Un VPN réalisé par le biais de L2TP sur IPsec recourt au « Layer 2 Tunneling Protocol » (L2TP). L2TP ne comporte pas de chif­fre­ment en lui-même et se combine donc gé­né­ra­le­ment avec IPsec. Tandis qu’IPsec ne peut relier que des réseaux IP, L2TP est com­pa­tible avec une multitude de pro­to­coles. La com­bi­nai­son de L2TP avec IPsec relie par con­sé­quent les atouts de ces deux standards. Elle est largement prise en charge, mais elle est ancienne : pour un nouveau dé­ploie­ment, on choisit souvent IKEv2/IPsec, OpenVPN ou WireGuard. Quant au PPTP, il s’appuie le plus souvent sur l’au­then­ti­fi­ca­tion MS-CHAP v2, dont les fai­blesses cryp­to­gra­phiques sont publiques : quiconque parvient à in­ter­cep­ter cette phase d’au­then­ti­fi­ca­tion peut en extraire les iden­ti­fiants de l’uti­li­sa­teur. Ce protocole n’a donc plus sa place aujourd’hui.

SSL/TLS-VPN

SSL a été développé à l’origine pour sécuriser les échanges HTTP. Il a été remplacé par son suc­ces­seur TLS, et les anciennes versions de SSL ne doivent plus être utilisées. Le même principe sert à protéger des con­nexions VPN. Un logiciel très répandu pour mettre en place un VPN via SSL/TLS est OpenVPN, qui s’appuie sur TLS pour l’au­then­ti­fi­ca­tion et l’échange des clés.

WireGuard

WireGuard est un protocole VPN plus récent, vo­lon­tai­re­ment compact, qui s’appuie sur des paires de clés publiques et privées. Il est intégré au noyau Linux depuis la version 5.6 et existe pour Windows, macOS, Android et iOS.

Un VPN rend-il anonyme ?

Non. Un VPN déplace le point de sortie de votre trafic, il n’efface pas votre identité. Votre four­nis­seur d’accès reste celui qui vous attribue votre adresse IP et sait donc quel abonné se trouve derrière elle ; ce que le tunnel lui dissimule, ce sont les sites que vous consultez. La relation de confiance ne disparaît pas, elle se déplace : c’est désormais l’opérateur du VPN qui voit d’où vous venez et où vous allez, et un en­ga­ge­ment de non-jour­na­li­sa­tion ne vaut que ce que vaut l’audit in­dé­pen­dant qui le vérifie. L’iden­ti­fi­ca­tion ne passe d’ailleurs pas uni­que­ment par l’adresse IP : la CNIL décrit, sous le nom de fin­ger­prin­ting, une technique pro­ba­bi­liste qui reconnaît un in­ter­naute à partir des ca­rac­té­ris­tiques tech­niques de son na­vi­ga­teur, et une session ouverte sur un compte vous désigne tout aussi sûrement.

Certains utilisent aussi un VPN pour con­tour­ner des res­tric­tions géo­gra­phiques, par exemple sur des services de streaming. Cet usage se heurte aux con­di­tions d’uti­li­sa­tion des pla­te­formes : Netflix prévoit par exemple que son catalogue est ac­ces­sible prin­ci­pa­le­ment dans le pays où le compte a été ouvert et dans les seules zones géo­gra­phiques pour les­quelles les droits ont été acquis. En pratique, les adresses IP des serveurs VPN connus sont fré­quem­ment bloquées ou limitées.

VPN d’en­tre­prise ou Zero Trust ?

Un VPN d’accès distant ouvre souvent l’ensemble du réseau interne dès que l’uti­li­sa­teur est au­then­ti­fié. L’approche Zero Trust (ZTNA) part du principe inverse : aucun uti­li­sa­teur ni appareil n’est considéré comme fiable par défaut, et chaque accès à une ap­pli­ca­tion est vérifié in­di­vi­duel­le­ment (identité, état de l’appareil, contexte) et limité au strict né­ces­saire. De nom­breuses en­tre­prises combinent les deux approches ou migrent pro­gres­si­ve­ment. Un VPN bien configuré, avec au­then­ti­fi­ca­tion mul­ti­fac­teur et mises à jour ré­gu­lières des pas­se­relles, reste un moyen courant de sécuriser le té­lé­tra­vail.

Un VPN est-il légal en France ?

L’usage d’un VPN est légal en France. Les activités illicites, elles, le restent avec ou sans VPN. Pour les en­tre­prises, le RGPD impose des mesures de sécurité adaptées aux données per­son­nelles (article 32), dont le chif­fre­ment peut faire partie. La CNIL re­com­mande, pour le té­lé­tra­vail, de sécuriser les accès distants, par exemple au moyen d’un VPN.