Un VPN est censé faire passer vos communications dans un tunnel chiffré. Pourtant, pour fonctionner, il doit lui-même emprunter un chemin qui échappe à ce tunnel. Une exception indispensable, sans laquelle il risquerait de bloquer sa propre connexion.
Quand vous activez votre VPN, le logiciel doit établir une communication avec le serveur choisi en empruntant votre connexion Internet habituelle, en Wi-Fi, en Ethernet ou sur le réseau mobile. Il configure une interface réseau virtuelle vers laquelle il redirige le trafic à protéger et effectue les échanges cryptographiques nécessaires à la sécurisation du tunnel. Mais cette redirection ne peut pas s’appliquer à toutes les communications sans distinction. Les paquets que le VPN envoie à son propre serveur doivent, de leur côté, continuer à emprunter le réseau ordinaire. Sans quoi, le logiciel pourrait se retrouver à tourner en rond, sans jamais parvenir à joindre son serveur.
Une boucle de routage qui pourrait bloquer le VPN lui-même
Pour comprendre ce paradoxe, il faut plonger dans les entrailles du VPN et retracer le trajet des paquets de données. Lorsque vous ouvrez une page web en passant par votre VPN, le système d’exploitation prépare les paquets destinés au site consulté. Mais au lieu de les envoyer directement sur Internet, il les dirige vers l’interface réseau virtuelle du VPN. Le client les chiffre et les encapsule dans de nouveaux paquets, adressés cette fois au serveur VPN.
Pour atteindre ce serveur, ces nouveaux paquets doivent emprunter votre connexion Internet habituelle. Or, pour protéger l’ensemble de votre trafic Internet, le VPN vient justement de demander au système de le rediriger vers son interface virtuelle. Si cette consigne s’appliquait aussi aux paquets destinés au serveur VPN, ceux-ci seraient renvoyés vers l'interface au lieu de partir sur Internet. Le client risquerait alors de les récupérer, de les chiffrer et de les encapsuler une nouvelle fois. Et ainsi de suite, sans jamais atteindre le serveur.
Pour éviter cette boucle, le VPN doit empêcher les paquets qu’il envoie à son serveur de repasser par sa propre interface virtuelle. Il prévoit donc un traitement particulier pour leur permettre d’emprunter la connexion habituelle et d’atteindre directement le serveur. Une fois reçus, celui-ci les déchiffre, en extrait les paquets d’origine et les achemine vers le site consulté.
Interface réseau physique ou virtuelle : quelle différence ?
Une interface réseau est le point de passage par lequel un ordinateur envoie et reçoit des données. La carte Wi-Fi et le port Ethernet disposent chacun d’une interface, que le système d’exploitation utilise pour communiquer avec le réseau auquel l’appareil est connecté.
Lorsque vous activez un VPN, le logiciel crée généralement une interface virtuelle. Le système la considère comme une interface réseau à part entière, mais elle ne correspond à aucun équipement physique. Elle sert à récupérer les paquets que le VPN doit protéger, avant de les chiffrer et de préparer leur transmission au serveur distant.
Ces données chiffrées quittent ensuite l’ordinateur par l’interface Wi-Fi ou Ethernet habituelle. Le tunnel VPN n’est donc pas une deuxième connexion Internet, mais une communication sécurisée qui emprunte celle dont vous disposez déjà.
Une même exception, plusieurs façons de l’appliquer
Selon le système d’exploitation et le logiciel utilisé, les clients VPN ne procèdent pas tous de la même façon pour éviter cette boucle. Certains excluent directement leurs propres communications du tunnel, d’autres utilisent des règles de routage pour leur réserver un chemin distinct.
Sur Android, une application VPN peut ainsi demander au système de ne pas rediriger vers l’interface virtuelle la connexion qu’elle utilise pour joindre son serveur. Ses propres échanges empruntent alors directement le réseau Wi-Fi ou mobile, même lorsque le trafic des autres applications passe par le VPN.
Cette distinction peut aussi s’effectuer au niveau des paquets. Sur Linux, WireGuard peut attribuer une marque particulière à ceux qu’il envoie vers son serveur. Le système la reconnaît et leur applique des règles de routage différentes. Ils empruntent ainsi la connexion physique, tandis que le trafic à protéger continue de passer par l'interface virtuelle.
L’exception peut enfin dépendre de l’adresse de destination. Lorsqu’il redirige le trafic Internet vers le tunnel, OpenVPN peut créer une route spécifique vers l'adresse IP de son serveur, en conservant la passerelle d’origine. Les paquets destinés au serveur empruntent alors ce chemin, sans risquer d’être renvoyés vers l'interface virtuelle.
Quelle que soit la méthode retenue, le but est toujours le même : le VPN doit pouvoir joindre son serveur sans faire repasser ses propres paquets par l'interface virtuelle dédiée au trafic à protéger.
Contourner le tunnel ne signifie pas contourner le chiffrement
Le passage des paquets du VPN par votre connexion Internet habituelle pourrait laisser penser qu’ils échappent à sa protection. Mais cette exception concerne leur itinéraire, pas leur chiffrement : le client VPN a déjà chiffré les données de navigation encapsulées dans ces paquets avant de les envoyer à son serveur.
Si le VPN fonctionne correctement, un observateur situé entre votre appareil et le serveur VPN peut identifier les adresses IP des deux extrémités, ainsi que les horaires, le rythme et les volumes de données échangées. Il peut en tirer des indices sur vos activités, mais ne peut ni lire les requêtes web transportées dans le tunnel ni voir directement les sites que vous consultez.
Attention toutefois à ne pas confondre cette exception de routage avec les situations où des communications échappent réellement à la protection du VPN. Le split tunneling permet, par exemple, de laisser volontairement certaines applications accéder à Internet en dehors du tunnel. Une fuite DNS, une erreur de routage ou une déconnexion sans kill Switch peuvent également exposer des informations qui auraient dû être protégées.
