Quand votre smartphone quitte le Wi-Fi pour la 5G, son adresse IP change et le VPN doit s’adapter à ce nouvel accès. Une transition généralement discrète, mais qui peut interrompre vos échanges et, dans certaines conditions, exposer votre connexion.
Vous quittez votre domicile, écouteurs vissés aux oreilles, et votre téléphone passe du Wi-Fi aux données mobiles sans incidence sur la lecture en cours. Rien de bien extraordinaire. Sauf que si vous utilisez un VPN, ce changement de réseau lui impose une petite gymnastique technique. Votre appareil ne communique plus avec Internet par le même chemin, et le serveur VPN auquel il était connecté doit désormais lui répondre à une autre adresse. Selon le protocole utilisé et la manière dont l’application gère cette transition, la connexion chiffrée peut poursuivre ses échanges, s’interrompre brièvement avant de reprendre ou nécessiter une nouvelle session. Avec des conséquences parfois moins perceptibles qu’une coupure de son.
Nouveau réseau, nouvelle adresse IP
Pour comprendre ce qui se produit, rappelons d’abord comment fonctionne une connexion VPN. Lorsque vous l’activez, votre application établit un tunnel chiffré avec un serveur distant, par lequel transitent les données de vos applications. Les sites que vous consultez voient alors l'adresse IP de sortie du VPN et non celle de votre connexion Internet habituelle.
Tant que votre téléphone utilise le Wi-Fi domestique, les paquets chiffrés qu’il envoie au serveur VPN arrivent depuis l’adresse IP publique de votre connexion fixe. En passant sur la 5G, ils empruntent le réseau de votre opérateur mobile et proviennent généralement d’une autre adresse publique, que le serveur VPN doit désormais utiliser pour vous répondre.
Le roaming, ou comment changer de réseau sans repartir de zéro
Pour autant, le changement d’adresse IP de votre accès Internet n’oblige pas forcément votre VPN à établir un nouveau tunnel chiffré. Selon le protocole utilisé, le serveur peut reconnaître votre téléphone lorsqu’il reprend contact depuis la 5G, actualiser son adresse et poursuivre la session en cours. Un peu comme lors d’un appel passé sur Internet : vous pouvez quitter le Wi-Fi pour les données mobiles sans avoir à raccrocher et rappeler votre correspondant.
Cette capacité à suivre un appareil lorsqu'il change de réseau porte un nom : le roaming, ou mobilité de connexion. WireGuard, par exemple, identifie les appareils autorisés à communiquer grâce à leurs clés cryptographiques, et non à leur seule adresse IP. Lorsqu'il reçoit un paquet correctement authentifié depuis la nouvelle connexion, le serveur reconnaît son correspondant et actualise l’adresse et le port auxquels lui envoyer ses réponses. Le tunnel peut ainsi continuer de fonctionner sans qu’une nouvelle connexion sécurisée doive être négociée.
IKEv2/IPsec peut s’appuyer sur une fonction comparable, appelée MOBIKE (Mobility and Multihoming Protocol), qui permet de modifier les adresses utilisées pour acheminer les données chiffrées tout en maintenant la session VPN. Avec OpenVPN, la transition peut nécessiter une reconnexion au serveur, selon la manière dont l’application détecte et gère le changement de réseau.
Des ratés possibles, même sans déconnexion
Le protocole n’est d’ailleurs pas seul en jeu. Le système d’exploitation doit détecter le nouvel accès Internet disponible, puis l’application VPN doit adapter ses communications pour l’utiliser. Même si le tunnel est maintenu, le passage du Wi-Fi à la 5G n'est donc pas toujours instantané.
Pendant cette transition, quelques paquets de données peuvent être perdus, provoquant une brève interruption des échanges. Les conséquences dépendent alors des applications utilisées. Un podcast peut continuer à jouer grâce aux données déjà téléchargées, tandis qu’un appel vidéo, qui nécessite des échanges en temps réel, risque davantage de subir un gel de l’image ou une coupure sonore.
Cette interruption n’implique pas nécessairement la rupture des connexions en cours. Si le tunnel conserve sa configuration et que le serveur VPN continue d’utiliser la même adresse IP de sortie, les communications peuvent reprendre dès que le réseau est de nouveau disponible. Les connexions TCP, utilisées par de nombreuses applications, savent par exemple retransmettre les paquets qui n’ont pas été reçus. À condition, bien sûr, que l’interruption ne dure pas trop longtemps.
Que deviennent vos données pendant la phase de reconnexion ?
Si le VPN doit établir une nouvelle session, les conséquences peuvent être plus importantes. Un changement de serveur, une nouvelle adresse IP attribuée dans le tunnel ou l’expiration d’une connexion peuvent alors obliger certaines applications à relancer leurs échanges.
Pendant ce temps, votre téléphone peut déjà avoir retrouvé un accès à Internet grâce à la 5G. Si le système ou l’application VPN ne bloque pas les communications hors du tunnel, une partie du trafic risque alors de circuler directement sur le réseau mobile, sans bénéficier de la protection du VPN.
C’est ce que le kill Switch cherche à empêcher. Lorsqu’il est activé et correctement configuré, il bloque les communications qui pourraient échapper au VPN pendant une interruption. Votre téléphone peut donc parfaitement capter la 5G sans que vos applications puissent accéder à Internet, le temps que la connexion sécurisée soit rétablie.
À noter enfin que sur Android, deux réglages complémentaires peuvent contribuer à réduire encore les risques de fuite pendant les changements de réseau. L’option « VPN permanent » permet de maintenir le service VPN actif et de le relancer automatiquement si nécessaire, tandis que « Bloquer les connexions sans VPN » empêche les applications de communiquer directement avec Internet lorsque le tunnel est indisponible. Sur iPhone, les protections contre les fuites dépendent des fonctionnalités prises en charge par l'application VPN et de sa configuration dans iOS, qui peut également relancer automatiquement une connexion VPN dans certaines conditions.
