VPN Gateway : La Clé de la Sécurité en Ligne #

Le terme « VPN gateway » circule dans deux mondes qui ne se parlent pas : celui des réseaux d’entreprise, où c’est un équipement de bordure, et celui des fournisseurs cloud, où c’est une ressource facturée à l’heure. Avant de choisir, il faut savoir duquel on parle — et ce qu’une passerelle protège réellement.

En bref

Une passerelle VPN est le point qui termine un tunnel chiffré et raccorde deux réseaux, ou un poste distant à un réseau. Le mot recouvre deux objets distincts : le concentrateur posé en bordure d’un réseau d’entreprise, et le service managé d’un fournisseur cloud — Microsoft appelle ainsi « un type spécifique de passerelle de réseau virtuel Azure ». Dans les deux cas, elle sécurise le transport entre deux points. Rien de plus.

Deux sens : équipement / logiciel de bordure d’un réseau privé d’un côté, ressource cloud managée (Azure VPN Gateway) de l’autre.
Trois topologies côté cloud : site à site, point à site, et réseau virtuel à réseau virtuel.
Des protocoles normés : IPsec piloté par IKEv2 (RFC 7296), OpenVPN, WireGuard, ou du TLS selon les cas.
Une limite nette : l’opérateur de la passerelle voit le trafic qui en sort. Le tunnel ne remplace ni l’authentification, ni les mises à jour, ni l’antivirus.

▶ YouTube IT-Connect – Florian

▶

Les VPN pour les débutants

Qu’est-ce qu’un VPN Gateway ? #

Un VPN — réseau privé virtuel — est décrit par Wikipédia comme « un système permettant de créer un lien direct entre des ordinateurs distants, connectés à des réseaux locaux différents », en isolant leurs échanges du trafic public. La passerelle est l’extrémité de ce lien : elle chiffre, déchiffre, authentifie le pair d’en face et route ce qui sort du tunnel vers le bon réseau. L’ambiguïté du terme vient de là — deux objets très différents portent le même nom.

Sens 1

La passerelle d’un réseau d’entreprise

Un boîtier, un pare-feu ou un logiciel installé en bordure du réseau privé. Wikipédia distingue le point-à-point, « entre un client et un concentrateur » — le poste nomade qui rejoint le réseau de son employeur — et le site-à-site, qui relie deux réseaux d’établissement. C’est l’entreprise qui exploite la passerelle, donc elle qui voit le trafic.

Sens 2

Le service managé d’un fournisseur cloud

Chez Microsoft, la passerelle VPN sert à « envoyer du trafic chiffré entre un réseau virtuel Azure et des emplacements locaux via l’Internet public ». Ce n’est plus un équipement mais une ressource : on choisit une référence (SKU), qui fixe le débit agrégé et le nombre de tunnels, et la facturation combine un coût horaire de calcul et le transfert des données sortantes.

Les trois topologies documentées côté cloud

La documentation Azure nomme précisément les cas d’usage, et c’est un bon repère même hors de ce fournisseur : site à site (« tunnel VPN IPsec/IKE intersite entre la passerelle VPN et un périphérique VPN local ») ; point à site, c’est-à-dire « VPN sur OpenVPN, IKEv2 ou SSTP », pour se connecter depuis son domicile ou un déplacement ; et VNet-to-VNet, entre deux passerelles du même fournisseur.

Les protocoles qui font réellement le tunnel

« Protocole de chiffrement robuste » ne veut rien dire tant qu’on ne nomme pas le protocole. Voici ce que disent les spécifications et les projets eux-mêmes, sans classement : aucune source d’autorité ne décerne de « plus sûr ».

Protocole	Ce qu’en disent les sources
IPsec / IKEv2	IKEv2 est normalisé par la RFC 7296 (« Internet Key Exchange Protocol Version 2 », octobre 2014) : composant d’IPsec chargé de l’authentification mutuelle et de l’établissement des associations de sécurité, il négocie les paramètres qu’ESP ou AH appliqueront au trafic.
OpenVPN	Logiciel sous licence GNU GPL, écrit en C/C++, qui « utilise de manière intensive la bibliothèque d’authentification OpenSSL ainsi que le protocole SSLv3/TLSv1 ». Il accepte trois modes d’authentification : clé privée partagée à l’avance, certificats électroniques, ou couples identifiant / mot de passe.
WireGuard	Le projet indique qu’il « encapsule de façon sécurisée des paquets IP sur UDP », avec un jeu de primitives fixé : Noise, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash24, HKDF. Il s’exécute dans le noyau Linux et revendique une base de code réduite « facilement auditable ». Les superlatifs de sa page d’accueil sont ceux de ses auteurs, pas d’un audit indépendant.
TLS (SSTP, OpenVPN)	Transporter le tunnel dans du TLS aide à traverser des réseaux filtrants. Azure propose SSTP en point à site ; OpenVPN s’appuie sur la même famille cryptographique.

Avantages d’un VPN Gateway #

Sécurité Renforcée

Le bénéfice premier est le chiffrement du transport : entre la passerelle et le pair authentifié, la session devient inexploitable pour qui observe le réseau intermédiaire. Wikipédia le formule côté fournisseur d’accès — un VPN rend le FAI « incapable d’accéder aux données privées échangées à travers le VPN ». S’y ajoute l’authentification mutuelle des extrémités, rôle d’IKEv2 dans IPsec, qui empêche un tiers de se faire passer pour le réseau distant.

Accès distant aux ressources internes

C’est l’usage historique et le plus solide : la passerelle publie un point d’entrée unique, contrôlé et journalisé, derrière lequel les serveurs internes restent inaccessibles depuis Internet. Wikipédia décrit ces VPN hôte-vers-réseau comme « couramment utilisés par les organisations pour donner aux utilisateurs hors site un accès sécurisé au réseau du bureau via Internet ». Comme la passerelle permet aussi d’accéder à Internet depuis le réseau qu’elle dessert, « ce qui permet de changer l’adresse IP source publique », la localisation apparente de la connexion change : un effet de bord du routage, pas une fonctionnalité de sécurité.

Protection sur les Réseaux Wi-Fi Publics

Sur un réseau ouvert, l’utilisateur ne maîtrise ni l’équipement d’accès, ni la résolution DNS, ni le portail captif. Le tunnel replace cette portion sous une seule extrémité de confiance : le hotspot ne voit plus qu’un flux chiffré vers la passerelle. C’est réel, mais ciblé — cela protège le segment entre l’appareil et la passerelle, pas ce qui se passe après.

À lire Sécurité en ligne avec ESET VPN

Inconvénients d’un VPN Gateway #

Ralentissement des Vitesses Internet

Deux causes se cumulent. Le chiffrement et l’encapsulation coûtent du temps de calcul et ajoutent des en-têtes à chaque paquet, ce qui réduit la charge utile. Surtout, le trafic ne prend plus le chemin le plus court : il fait un détour par la passerelle, et la latence s’allonge d’autant. Côté cloud, c’est explicite — le débit agrégé dépend de la référence de passerelle choisie, et « tous les tunnels VPN partagent la bande passante de passerelle disponible ».

Compatibilité et interopérabilité

Un tunnel ne s’établit que si les deux extrémités parlent le même protocole avec les mêmes paramètres. Un équipement ancien limité au routage basé sur des stratégies, une pile qui n’implémente pas WireGuard, un client mobile qui ne fait qu’IKEv2 : chaque écart impose une configuration supplémentaire, voire un changement de matériel.

Ce qu’une passerelle VPN ne sécurise pas

C’est le point que le vocabulaire marketing brouille le plus, et il mérite d’être posé sans détour : un VPN protège le transport entre deux points, il ne « sécurise » pas tout ce que vous faites en ligne.

⚠ Trois idées reçues à corriger

Ce n’est pas de l’anonymat. Wikipédia est explicite : les VPN « ne rendent pas les utilisateurs connectés anonymes ou non identifiables » vis-à-vis du réseau de transit, et « l’infrastructure de VPN dispose des informations permettant d’identifier l’utilisateur ».
L’opérateur de la passerelle voit le trafic sortant. On déplace la confiance, on ne la supprime pas : « les sociétés proposant des VPN peuvent récolter les données de navigation de leurs clients ». Choisir une passerelle, c’est choisir qui a ce droit de regard.
Cela ne remplace aucune autre brique. Ni l’authentification des comptes, ni les correctifs, ni un antivirus. Un poste compromis transporte son logiciel malveillant dans le tunnel comme le reste — jusque dans le réseau auquel il vient de se raccorder.

Comment Choisir le Bon VPN Gateway #

Le premier tri consiste à savoir ce qu’on achète : une passerelle d’entreprise, une ressource cloud et un abonnement grand public ne se comparent pas. La logique pour choisir un VPN côté poste rejoint celle d’une passerelle sur un seul point — la confiance accordée à l’opérateur. Voici les critères vérifiables :

Protocoles et algorithmes supportés : la liste précise (IKEv2/IPsec, OpenVPN, WireGuard, SSTP) et les suites cryptographiques acceptées, pas la mention « chiffrement robuste ».
Interopérabilité : compatibilité avec l’équipement d’en face, type de routage (stratégies ou itinéraires), prise en charge de BGP si le réseau l’exige.
Dimensionnement : débit agrégé, nombre de tunnels simultanés et de connexions point à site — les colonnes qui distinguent les références chez un fournisseur cloud.
Résilience : configuration active/passive ou active/active, répartition sur des zones de disponibilité distinctes.
Authentification : certificats, annuaire d’entreprise, second facteur — c’est ce qui protège la passerelle, devenue point d’entrée unique.
Journalisation et politique de données : ce qui est enregistré, où, combien de temps. Pour un service tiers, le seul critère de confidentialité opposable.

À retenir

« VPN gateway » désigne soit le concentrateur de bordure d’un réseau d’entreprise, soit un service managé cloud comme Azure VPN Gateway : demandez toujours de quoi on parle.
Les topologies documentées sont le site à site, le point à site et le réseau virtuel à réseau virtuel ; les protocoles cités sont IPsec/IKEv2, OpenVPN, WireGuard et SSTP.
Le tunnel protège le transport : ni anonymat, ni immunité face aux logiciels malveillants, ni dispense de mises à jour.
Un VPN déplace la confiance vers l’exploitant de la passerelle — c’est un choix, pas une disparition du risque.

Foire aux Questions #

Ai-je besoin d’un VPN sur les réseaux Wi-Fi publics ?

C’est le cas d’usage où le bénéfice est le plus tangible : vous ne contrôlez ni l’équipement d’accès, ni le DNS, ni le portail captif, et le tunnel ramène tout ce segment sous une extrémité que vous avez choisie. Il ne dispense pas pour autant de vérifier que les sites consultés sont bien en HTTPS, ni de garder le système à jour.

Les passerelles VPN ralentissent-elles la connexion ?

Oui, et pour deux raisons distinctes : le coût de calcul du chiffrement et de l’encapsulation, et le détour imposé au trafic, qui allonge la latence. Sur une passerelle cloud, le débit agrégé dépend en outre de la référence retenue, et les tunnels se partagent la bande passante disponible.

Comment choisir la bonne passerelle VPN ?

En partant des contraintes vérifiables : protocoles supportés, interopérabilité avec l’équipement d’en face, type de routage, débit et nombre de tunnels nécessaires, résilience, authentification, journalisation. Un critère qui ne se vérifie pas dans une documentation n’en est pas un.

Passerelle VPN d’entreprise et abonnement VPN grand public, est-ce la même chose ?

Non. La première raccorde des réseaux ou des postes à un réseau privé que vous exploitez ; le second raccorde votre appareil au réseau d’un prestataire, qui devient l’extrémité du tunnel et voit le trafic qui en sort. Technologie voisine, modèle de confiance différent.

Si tout est déjà en HTTPS, une passerelle VPN sert-elle encore ?

Oui, mais pas au même endroit. HTTPS protège une session applicative entre le navigateur et un serveur ; la passerelle protège le transport de l’ensemble du trafic réseau et, surtout, donne accès à des ressources internes qui ne sont pas publiées sur Internet. Les deux se complètent, aucun ne remplace l’autre.

Sources consultées