Vous voulez accéder à votre réseau depuis l’extérieur, chiffrer une connexion ou garder la maîtrise de l’infrastructure par laquelle passent vos données ? Derrière l’expression « créer un VPN » se cachent en réalité des projets très différents, du simple abonnement à un service commercial au serveur WireGuard hébergé à la maison.
Créer un VPN ne consiste donc pas forcément à installer un serveur dans un coin du salon. Si l’objectif est de masquer son adresse IP, changer de localisation virtuelle ou protéger son trafic sur un réseau que l’on ne maîtrise pas, les services VPN commerciaux font déjà tout le travail. Si vous cherchez plutôt à accéder à votre réseau domestique depuis l’extérieur, joindre un NAS ou faire transiter votre connexion Internet par votre domicile, vous pouvez héberger votre propre serveur VPN.
Les deux approches reposent sur le même principe général, mais ne répondent ni aux mêmes usages ni aux mêmes contraintes. Avant de ressortir un Raspberry Pi, de toucher à la configuration de la box ou de générer des clés WireGuard, il faut donc savoir quel problème on cherche à résoudre.
La méthode la plus simple : choisir un fournisseur VPN commercial
Pour masquer votre adresse IP publique, chiffrer les échanges entre votre appareil et un serveur VPN ou obtenir une adresse IP située dans un autre pays, le service commercial reste la voie la moins contraignante.
Le fournisseur exploite son réseau et fournit généralement ses propres applications pour Windows, macOS, Android, iOS et Linux. Une fois la connexion établie, les données circulent dans un tunnel chiffré jusqu’au serveur sélectionné. C’est son adresse IP que voient les sites et services en ligne, et non plus celle que votre opérateur attribue à votre connexion.
Il ne faut toutefois pas prêter au VPN des pouvoirs qu’il n’a pas. Masquer une adresse IP n’efface pas le reste. Un compte ouvert dans le navigateur, des cookies, une empreinte numérique suffisamment distinctive, l’accès à la position GPS ou des traceurs publicitaires peuvent toujours permettre de rattacher une activité à une personne. Le VPN protège le trajet des données jusqu’à son serveur et modifie l’adresse IP visible sur Internet. Il ne gomme pas, à lui seul, votre identité numérique.
Pourquoi opter pour un service commercial ?
Son principal atout tient au peu d’administration qu’il réclame. Pas de serveur à maintenir, de port à exposer sur Internet ni de configuration réseau à surveiller au fil des mois. L’application prend en charge la connexion, et le changement de serveur se fait généralement en quelques clics.
Les grands fournisseurs exploitent aussi des infrastructures réparties dans de nombreux pays. Cette couverture donne davantage de choix : sélectionner une sortie proche pour préserver les performances, obtenir une adresse IP locale à l’étranger ou accéder à des services soumis à des restrictions géographiques lorsque leurs conditions d’utilisation l’autorisent.
Les services commerciaux proposent aussi d’emblée des fonctions qu’il faudrait configurer soi-même sur un serveur maison. Le kill switch coupe les communications si le tunnel tombe. Le split tunneling permet de décider quelles applications passent par le VPN et lesquelles utilisent directement la connexion Internet. Selon les offres, on trouve aussi des connexions multi-sauts (ou multihop), des IP dédiées, des modes d’obfuscation ou des outils chargés de bloquer une partie des domaines publicitaires, malveillants et liés au pistage.
À cela s’ajoute la gestion de plusieurs appareils sous un même abonnement. PC, Mac, smartphones, tablettes et parfois routeurs peuvent rejoindre le VPN sans avoir à créer et maintenir chaque configuration à la main.
Comment choisir le bon fournisseur ?
Le protocole donne déjà quelques indications sur la technologie employée. WireGuard s’est largement imposé grâce à sa conception compacte et à ses bonnes performances, tandis qu'OpenVPN conserve une place importante grâce à sa maturité et à sa grande compatibilité. IKEv2 ne démérite pas, en particulier sur les appareils mobiles. Plusieurs fournisseurs développent enfin leurs propres protocoles, parfois à partir de technologies existantes, afin d’optimiser les temps de connexion, la stabilité ou les débits.
En revanche, la seule mention « AES-256 » sur un site web ne dit pas grand-chose sur la qualité réelle du service. WireGuard, par exemple, s’appuie sur ChaCha20-Poly1305 plutôt que sur AES. Ce qui compte davantage, c’est l’emploi de primitives cryptographiques éprouvées, la qualité de leur implémentation, la gestion des clés et la sécurité globale des applications comme de l’infrastructure.
Même prudence vis-à-vis des promesses « no-log ». Le terme recouvre des réalités très variables. Un fournisseur peut ne conserver aucun historique de navigation ni aucune adresse IP de connexion tout en enregistrant une adresse mail, des informations de paiement, des données techniques liées au compte ou des rapports de diagnostic. Les audits indépendants, lorsqu’ils sont suffisamment détaillés et récents, permettent de confronter le discours commercial aux pratiques réellement observées. Les rapports de transparence apportent également des éléments utiles.
Concernant les performances, seuls les tests permettent vraiment de départager les services. Le passage par un serveur intermédiaire allonge le trajet des données et le chiffrement sollicite l’appareil et le serveur. Selon le protocole, la charge, la distance géographique et la qualité des interconnexions réseau, l’impact peut aller d’un écart presque imperceptible à une baisse franche du débit accompagnée d’une hausse de la latence.
Le choix dépend aussi de critères très terre-à-terre : systèmes compatibles, nombre de connexions simultanées, qualité des applications et du support technique, ou encore configuration sur routeur. Ne vous laissez pas non plus impressionner par le nombre de serveurs affiché en vitrine. Une flotte gigantesque ne garantit ni de meilleurs débits ni une meilleure stabilité. Leur emplacement, leur capacité et la qualité du réseau qui les relie pèsent souvent bien davantage.
Créer son propre VPN pour accéder à son réseau
Héberger son propre VPN répond à un besoin différent. Ici, il ne s’agit plus de choisir une adresse IP dans un autre pays, mais d’accéder à son réseau domestique depuis l’extérieur : joindre un NAS ou un PC resté à la maison, ouvrir un service disponible uniquement en local ou faire passer sa connexion Internet par son domicile pendant un déplacement.
En hébergeant vous-même le serveur, vous gardez aussi la main sur la configuration du tunnel et sur les ressources accessibles à distance. En revanche, ce type d’installation ne remplace pas vraiment un fournisseur commercial. Pas question de sélectionner une sortie parmi plusieurs dizaines de pays : si vous faites transiter votre navigation par le serveur installé chez vous, le trafic rejoint Internet depuis votre connexion domestique, avec son adresse IP publique.
Les performances dépendent alors en grande partie de votre propre connexion, et il vous faudra garder un œil sur le débit montant. Lorsqu’un appareil distant télécharge des données à travers le VPN, votre réseau domestique doit les lui envoyer. Une fibre généreuse en upload encaissera facilement la charge. Sur une ligne plus limitée, vous risquez d’être bridé lors des transferts de fichiers à distance.
Utiliser le serveur VPN de son routeur
Avant d’installer quoi que ce soit sur une autre machine, jetez un œil aux fonctions du routeur. De nombreux modèles récents, ainsi que plusieurs systèmes Wi-Fi avancés, savent déjà héberger un serveur WireGuard, OpenVPN ou IKEv2.
Tout se pilote alors depuis l’interface d’administration. Il faut généralement activer le serveur, sélectionner le protocole puis créer les accès destinés aux appareils autorisés. Le détail varie d’un constructeur à l’autre, mais l’idée ne change pas.
L’authentification dépend ensuite du protocole retenu. OpenVPN peut s’appuyer sur des certificats et des identifiants. WireGuard fonctionne avec des paires de clés publiques et privées. Chaque appareil dispose ainsi de sa propre configuration, que l’on peut révoquer séparément si nécessaire.
Une fois le profil importé sur le PC, le smartphone ou la tablette utilisés à l’extérieur, le tunnel permet de rejoindre les ressources du réseau autorisées dans la configuration du VPN.
Tous les routeurs ne se valent toutefois pas sur ce terrain. Les modèles plus anciens affichent parfois encore PPTP ou L2TP/IPsec parmi les options disponibles. PPTP est à écarter en raison de faiblesses de sécurité connues depuis longtemps. L2TP/IPsec accuse lui aussi son âge, et Microsoft recommande désormais de privilégier des protocoles plus modernes pour les nouveaux déploiements de serveurs VPN.
Installer WireGuard ou OpenVPN sur un Raspberry Pi
Si votre routeur ne sait pas héberger de VPN, ou si son interface laisse trop peu de flexibilité, rien n’oblige à changer de matériel réseau. Un Raspberry Pi, un mini-PC ou même un ancien ordinateur peuvent très bien endosser ce rôle.
Parce qu’il est léger et compact, WireGuard se prête particulièrement bien à ce type d’installation. Mais OpenVPN reste tout à fait pertinent si vous privilégiez la compatibilité ou avez besoin d’options de configuration plus poussées.
Sur Linux, il faut en revanche accepter de mettre les mains dans le cambouis. Installation du serveur, génération des clés ou des certificats, routage, pare-feu, définition des réseaux accessibles depuis le tunnel : la configuration réclame un peu plus qu’une poignée de clics. Rien d’insurmontable pour qui est motivé, mais on s’éloigne clairement du bouton « Connecter » d’une application VPN commerciale.
À noter que des outils comme PiVPN peuvent prendre en charge une partie du travail pour WireGuard et OpenVPN, en particulier pour automatiser l’installation du serveur et la création des profils clients.
Rendre le serveur accessible depuis Internet
Une fois le serveur VPN installé, il faut permettre aux appareils extérieurs de l’atteindre. Chez vous, le Raspberry Pi ou le mini-PC possède une adresse IP locale, valable uniquement sur votre réseau domestique. Depuis Internet, en revanche, c’est l’adresse IP publique de votre connexion qui sert de point d’entrée.
Le routeur doit donc savoir quoi faire lorsqu’une connexion VPN arrive. En IPv4, on passe généralement par une redirection de port : le trafic reçu sur un port donné est envoyé vers l’adresse IP locale de la machine qui héberge le VPN. OpenVPN utilise souvent UDP 1194. WireGuard ne réserve aucun port particulier, même si UDP 51820 est très courant.
Pour éviter que cette règle pointe un jour vers la mauvaise machine, le serveur VPN doit conserver la même adresse sur le réseau local. On peut lui attribuer une IP fixe ou réserver son adresse dans le serveur DHCP du routeur.
Il y a toutefois un préalable : disposer d’une IPv4 publique que l’on peut joindre depuis Internet. Avec le CGNAT, plusieurs abonnés partagent la même IPv4 publique. Votre routeur ne dispose donc plus de sa propre adresse IPv4 publique, et une redirection de port configurée chez vous ne peut pas recevoir directement les connexions venues d’Internet.
Selon le fournisseur d’accès, vous pourrez demander une IPv4 publique, utiliser IPv6 si votre installation le permet ou passer par une autre solution d’accès distant.
Et si l’adresse IP change ?
Une fois le serveur joignable, un autre détail peut compliquer les choses : l’adresse IP publique de votre domicile n’est pas forcément permanente. Si votre opérateur la modifie, le client VPN ne saura plus à quelle adresse contacter le serveur.
C’est précisément le rôle du DNS dynamique, ou DDNS. Au lieu d’inscrire directement l’adresse IP dans la configuration du VPN, vous utilisez un nom fixe, par exemple maison.example.net.
Votre routeur ou une machine du réseau avertit automatiquement le service DDNS lorsqu’une nouvelle adresse IP vous est attribuée. L’adresse associée au nom de domaine est alors mise à jour.
Les appareils distants continuent donc d’utiliser la même adresse maison.example.net, même si l’IP publique de votre connexion change entre-temps.
Accéder à son réseau ou faire passer tout Internet par le VPN ?
Un VPN personnel peut fonctionner de deux façons assez différentes.
Dans le premier cas, le tunnel sert uniquement à atteindre le réseau domestique. Depuis l’extérieur, votre téléphone peut joindre le NAS, un PC ou une interface web locale, tandis que le reste de son trafic Internet continue de passer directement par la 4G, la 5G ou le Wi-Fi utilisé sur place.
Cette configuration évite d’envoyer inutilement toute la navigation jusqu’au domicile. Elle convient bien lorsque le VPN sert avant tout de porte d’entrée sécurisée vers quelques équipements internes.
Deuxième possibilité : faire transiter tout le trafic par le serveur installé chez vous. Le téléphone ou l’ordinateur distant utilise alors votre connexion domestique comme passerelle vers Internet. Depuis un hôtel, un café ou un réseau que vous connaissez mal, les échanges rejoignent d’abord le serveur VPN avant de ressortir sur le Web avec l’adresse IP publique de votre domicile.
Cette seconde configuration sollicite davantage le débit montant de votre connexion domestique. Elle peut néanmoins se révéler utile pour retrouver votre adresse IP habituelle à distance ou chiffrer votre trafic sur un réseau Wi-Fi que vous ne maîtrisez pas.
Configurer les appareils qui se connecteront au VPN
Côté client, la méthode dépend surtout du protocole. Les fournisseurs commerciaux passent presque toujours par leurs propres applications. Pour un serveur personnel, WireGuard et OpenVPN disposent également de clients dédiés sur les principales plateformes.
La configuration prend généralement la forme d’un fichier ou d’un profil à importer. Celui-ci contient l’adresse du serveur, les paramètres du tunnel et les éléments d’authentification nécessaires. WireGuard permet aussi fréquemment de transférer une configuration vers un smartphone à l’aide d’un QR code.
Les connexions IKEv2 peuvent quant à elles s’appuyer sur les fonctions VPN intégrées aux systèmes compatibles. Dans tous les cas, chaque appareil devrait disposer de ses propres identifiants ou clés. Si l’un d’eux est perdu ou compromis, son accès peut alors être retiré sans toucher aux autres.
Un serveur maison demande aussi un peu d’entretien
Auto-héberger un VPN ne s’arrête pas au jour de l’installation. Le système d’exploitation, WireGuard, OpenVPN et les éventuels outils utilisés autour du serveur doivent recevoir leurs mises à jour de sécurité.
Même vigilance pour les accès. Les comptes inutilisés peuvent être supprimés, les clés d’un appareil perdu révoquées et les règles du pare-feu limitées aux services réellement nécessaires.
L’intérêt de l’auto-hébergement tient précisément au contrôle qu’il procure. En contrepartie, c’est à vous de maintenir la machine, les logiciels et les accès en ordre.
Service VPN commercial ou serveur VPN maison, deux usages très différents
Le choix dépend finalement moins de votre niveau technique que de ce que vous attendez du VPN.
Un service commercial convient davantage si vous voulez masquer facilement votre adresse IP, disposer de sorties dans plusieurs pays et équiper plusieurs appareils sans administrer d’infrastructure. Le fournisseur prend en charge les serveurs, le réseau et l’essentiel de la maintenance.
Un serveur personnel répond à un autre usage : accéder à son réseau domestique depuis l’extérieur et garder la main sur la machine qui héberge le VPN. En échange, il faut gérer le matériel, les accès, le réseau et les mises à jour.
Et rien n’interdit d’utiliser les deux. Un VPN commercial peut accompagner les déplacements et les usages quotidiens, tandis qu’un serveur WireGuard à la maison ouvre un accès privé au NAS ou aux autres machines du réseau. Dans ce cas, ils ne se concurrencent pas vraiment : chacun remplit une fonction différente.
