NordLynx et WireGuard, comment fonctionne le protocole de NordVPN ?

NordLynx s’appuie sur WireGuard pour accélérer les connexions de NordVPN, tout en modifiant la gestion des adresses IP sur ses serveurs. Voici ce qui distingue les deux technologies et dans quels cas utiliser ce protocole.

Si vous utilisez NordVPN, il est probable que NordLynx protège déjà votre connexion. Le fournisseur recommande ce protocole et l’active par défaut dans la plupart de ses applications. Sur d’autres versions, un mode automatique choisit le protocole jugé le plus adapté au serveur et au réseau utilisés.

NordLynx n’est pourtant ni une création entièrement indépendante ni un simple changement de nom. NordVPN l’a construit à partir de WireGuard, un protocole VPN open source apprécié pour sa rapidité, puis a revu la gestion des utilisateurs et des adresses IP afin de l’adapter à son infrastructure. Lancé sur l’ensemble des principales plateformes en 2020, il a depuis gagné une option de protection post-quantique.

NordLynx est une adaptation de WireGuard

Un protocole VPN définit la manière dont l’application et le serveur établissent le tunnel, échangent leurs clés et chiffrent les données. NordVPN propose aujourd’hui NordLynx, OpenVPN et NordWhisper dans ses applications principales. IKEv2/IPsec demeure disponible pour certaines configurations manuelles, mais il ne figure plus parmi les choix ordinaires proposés dans l’application.

NordLynx reprend le fonctionnement de WireGuard pour établir et sécuriser le tunnel. WireGuard emploie notamment ChaCha20 associé à Poly1305 pour le chiffrement authentifié, Curve25519 pour l’échange de clés, BLAKE2s pour le hachage et HKDF pour la dérivation des clés.

Son code est également beaucoup plus compact que celui de protocoles historiques tels qu’OpenVPN. Cette conception réduit le nombre de composants à maintenir et facilite l’examen du code. Elle contribue aussi à la rapidité d’établissement des connexions et aux bons débits généralement observés avec WireGuard.

NordLynx conserve cette partie du protocole. La différence se trouve principalement dans la façon dont NordVPN attribue les adresses internes et authentifie les personnes connectées à ses serveurs.

Pourquoi NordVPN a complété WireGuard

WireGuard associe chaque pair, identifié par sa clé publique, à une ou plusieurs adresses IP autorisées dans le tunnel. Cette correspondance fait partie de son système de routage et permet au serveur de savoir vers quel pair envoyer chaque paquet.

Le protocole ne gère toutefois pas l’inscription des utilisateurs, la distribution des clés ni l’attribution dynamique des adresses IP. Ces fonctions sont volontairement laissées aux applications et aux infrastructures qui utilisent WireGuard.

Ce choix ne constitue pas une faille de confidentialité et n’oblige pas un serveur à journaliser durablement l’adresse IP réelle de ses utilisateurs. Pendant une connexion, celui-ci connaît néanmoins le point réseau depuis lequel communique chaque pair et doit conserver les informations nécessaires pour lui acheminer les réponses.

Pour intégrer WireGuard à son service et gérer un grand nombre de connexions temporaires, NordVPN lui a associé son propre système d’authentification et un double système de traduction d’adresses réseau, ou double NAT.

• La première interface attribue la même adresse IP locale aux utilisateurs et utilisatrices connectés à un serveur. Le serveur doit toutefois pouvoir distinguer leurs sessions afin d’acheminer les paquets vers le bon tunnel.

• Une seconde interface attribue donc une adresse IP dynamique propre à chaque session. Cette adresse sert au routage des paquets pendant la connexion, puis disparaît à la fin de celle-ci.

L’authentification passe par une base de données distincte du serveur VPN. Selon NordVPN, cette organisation lui permet de ne pas stocker de données permettant d’identifier les utilisateurs sur le serveur lui-même. Elle ne signifie pas que NordLynx corrige une faiblesse de WireGuard : il s’agit de l’adaptation choisie par NordVPN pour intégrer le protocole à son infrastructure. Elle ne dispense pas non plus d’examiner séparément la politique de conservation des données du fournisseur et les audits consacrés à son application.

NordLynx est-il vraiment plus rapide qu’OpenVPN ?

Dans la plupart des situations, NordLynx offre de meilleurs débits qu’OpenVPN et établit la connexion plus vite. Ce résultat tient à la conception plus légère de WireGuard et à son fonctionnement sur UDP.

Nos propres mesures placent régulièrement NordLynx devant les autres protocoles proposés par NordVPN, en particulier sur les serveurs proches. Le résultat exact dépend toutefois de la distance du serveur, de sa charge, du réseau utilisé et des performances de l’appareil.

Un protocole rapide limite la perte de débit provoquée par le VPN. Il ne peut pas garantir une connexion plus rapide qu’un accès direct à Internet. Le trafic doit toujours rejoindre un serveur intermédiaire avant d’atteindre sa destination.

La même prudence s’applique à la latence. NordLynx occasionne généralement moins de délai qu’OpenVPN dans des conditions identiques, mais un VPN peut augmenter le ping en raison du détour imposé. Une amélioration par rapport à la connexion sans VPN demeure possible si le serveur offre un meilleur itinéraire réseau, sans constituer la situation habituelle.

WireGuard gère aussi le changement d’adresse externe d’un appareil. Un téléphone peut donc passer du Wi-Fi au réseau mobile sans reconstruire entièrement sa configuration. Le serveur apprend le nouveau point de connexion à la réception d’un paquet authentifié.

NordLynx propose désormais une protection post-quantique

NordVPN a commencé à tester une protection post-quantique avec NordLynx sur Linux en septembre 2024. Le fournisseur l’a ensuite déployée sur Windows, macOS, Android, iOS, Android TV et tvOS en 2025.

Cette option complète l’échange de clés de NordLynx par une protection conçue pour résister à de futures attaques menées à l’aide d’ordinateurs quantiques suffisamment puissants. Elle vise notamment le scénario dans lequel un attaquant enregistre aujourd’hui des communications chiffrées dans l’espoir de pouvoir les déchiffrer plus tard.

Les algorithmes employés actuellement par WireGuard ne sont pas devenus vulnérables pour autant. Les ordinateurs quantiques capables de casser les échanges de clés utilisés sur Internet ne sont pas disponibles. La cryptographie post-quantique anticipe un risque futur, particulièrement pertinent pour les informations qui devront demeurer confidentielles pendant de nombreuses années.

Chez NordVPN, cette protection fonctionne uniquement avec NordLynx. Elle se désactive lorsque vous utilisez une adresse IP dédiée, un autre protocole, les serveurs obfusqués ou Meshnet.

Comment activer NordLynx dans l’application NordVPN ?

NordVPN utilise NordLynx par défaut dans la plupart de ses applications. Vous pouvez néanmoins le sélectionner manuellement lorsque le mode automatique a choisi un autre protocole ou après avoir modifié les paramètres.

Sur Windows :

• Ouvrez l’application NordVPN.
• Cliquez sur l’icône de votre profil.
• Accédez à Paramètres, puis à Connexion et sécurité.
• Ouvrez le menu Protocole VPN.
• Sélectionnez NordLynx.
• Reconnectez-vous au serveur VPN.

Le mode Automatique, lorsqu’il est présent, peut choisir entre NordLynx, NordWhisper et OpenVPN selon les protocoles pris en charge par le serveur.

Sur macOS :

• Ouvrez l’application et cliquez sur l’icône du profil.
• Accédez à Réglages, puis à Général.
• Ouvrez le menu Protocole VPN.
• Sélectionnez NordLynx.

Sur Android et iOS :

• Appuyez sur Profil.
• Ouvrez Réglages.
• Accédez à Protocole.
• Sélectionnez NordLynx.
• Relancez la connexion.

NordLynx est proposé aux côtés du mode automatique, de NordWhisper et d’OpenVPN TCP ou UDP sur les versions actuelles d’iOS. La sélection disponible peut varier légèrement selon le système et la version de l’application.

Sur Linux, l’interface graphique permet de choisir NordLynx dans Paramètres > Connexion VPN. Depuis le terminal, utilisez les commandes suivantes :

La première sélectionne NordLynx et la seconde lance la connexion.

Faut-il choisir NordLynx, OpenVPN ou NordWhisper ?

NordLynx pour l’utilisation quotidienne

NordLynx constitue le meilleur choix pour la majorité des connexions. Il convient à la navigation courante, aux téléchargements, à la vidéo et aux activités pour lesquelles les débits ou le temps de réponse ont leur importance.

Il permet aussi d’utiliser la protection post-quantique de NordVPN. Conservez-le tant que la connexion fonctionne correctement et que vous n’avez pas besoin d’une fonction réservée à un autre protocole.

OpenVPN pour la compatibilité et certains serveurs spécialisés

OpenVPN offre deux modes. UDP privilégie généralement les performances, tandis que TCP peut mieux traverser certains filtres réseau, notamment lorsqu’il utilise le port 443, au prix d’une perte de débit souvent plus importante.

Les serveurs obfusqués de NordVPN imposent actuellement OpenVPN TCP ou UDP dans la plupart des applications. Onion Over VPN dépend également d’OpenVPN. Il peut donc être nécessaire de quitter NordLynx pour accéder à ces catégories de serveurs.

OpenVPN conserve aussi un intérêt pour les routeurs et appareils qui ne prennent pas en charge NordLynx. NordVPN fournit de nombreuses configurations manuelles reposant encore sur ce protocole.

NordWhisper pour les réseaux qui bloquent les VPN

NordWhisper a rejoint les applications NordVPN après la création de NordLynx. Il a été conçu pour les réseaux locaux qui filtrent ou bloquent les protocoles VPN habituels, notamment dans certains hôtels, aéroports, établissements scolaires ou entreprises.

Il ne cherche donc pas à remplacer NordLynx pour les usages ordinaires. Ses techniques destinées à passer plus facilement les filtres peuvent réduire les performances. NordVPN le recommande lorsque la connexion échoue ou subit des restrictions sur le réseau utilisé.

NordWhisper est disponible sur Windows, macOS, Linux, Android et iOS. Il n’est pas compatible avec les adresses IP dédiées, Meshnet, les serveurs obfusqués et Onion Over VPN.

NordLynx et WireGuard sont-ils la même chose ?

NordLynx utilise WireGuard pour créer le tunnel, chiffrer les paquets et gérer les échanges entre l’appareil et le serveur. Il ne modifie donc pas les fondements cryptographiques du protocole open source.

NordVPN complète néanmoins WireGuard par sa propre infrastructure d’authentification, son système de double NAT et, lorsqu’elle est activée, une protection post-quantique. NordLynx désigne cet ensemble, et non une simple version renommée de WireGuard.

Pour un abonné ou une abonnée NordVPN, ce détail se traduit surtout par un choix simple. NordLynx convient à la plupart des connexions. OpenVPN prend le relais pour certains serveurs spécialisés ou équipements, tandis que NordWhisper cible les réseaux qui tentent de bloquer les VPN.