VPN pour entreprises et logements : accès à distance sécurisé

À quoi ça sert

• Télétravail : accéder aux fichiers, au serveur ou aux applications internes comme au bureau.
• Plusieurs sites : relier bureaux, boutiques ou un hôtel et ses appartements dans un même réseau privé (VPN site à site).
• Résidences secondaires : atteindre le NAS, l'enregistreur vidéo ou la domotique sans les exposer sur internet.
• Support technique : permettre à l'installateur d'intervenir sans laisser d'accès ouverts.

Pourquoi ne pas ouvrir de ports

Exposer directement le bureau à distance, l'enregistreur vidéo ou le NAS sur internet les rend visibles aux scans automatiques qui cherchent des équipements vulnérables. Avec une VPN, seule la porte de la VPN est visible de l'extérieur, protégée par des clés cryptographiques.

WireGuard et OpenVPN

• WireGuard : moderne, légère et rapide, simple à configurer. Très adaptée aux mobiles et aux liaisons entre sites.
• OpenVPN : très répandue et compatible, utile pour s'intégrer à des équipements ou réseaux existants.

Les deux sont open source. De nombreux routeurs et pare-feu professionnels les intègrent d'origine, et elles peuvent aussi tourner sur un serveur dédié.

Bonnes pratiques

• Un accès par personne et par appareil, révocable.
• N'ouvrir à chacun que ce dont il a besoin, pas tout le réseau.
• Firmware du routeur et du serveur VPN toujours à jour.
• Journal des connexions pour savoir qui s'est connecté et quand.

Trois façons de mettre en place une VPN

• Accès distant : chaque personne connecte son mobile ou son ordinateur au réseau du bureau ou de la maison.
• Site à site : deux réseaux ou plus sont reliés en permanence, comme s'ils n'en formaient qu'un.
• Réseau superposé (mesh) : les appareils se connectent directement entre eux, sans tous passer par un point central. Des solutions open source basées sur WireGuard existent pour ce modèle.

Où l'installer

Le plus souvent, le serveur VPN se trouve sur le routeur ou le pare-feu professionnel du bureau, qui intègre déjà WireGuard, OpenVPN ou IPsec. Il peut aussi tourner sur un petit serveur ou un NAS.

Tunnel complet ou fractionné

• Tunnel complet : tout le trafic de l'appareil passe par la VPN. Plus de contrôle, mais plus de charge sur la connexion du bureau.
• Tunnel fractionné : seul le trafic vers le réseau du bureau passe par la VPN ; le reste sort directement. C'est le plus courant en télétravail.

IP dynamique et CGNAT

Pour se connecter de l'extérieur, le bureau ou la maison doit être joignable. Si l'adresse IP publique change, un nom DNS dynamique règle la question. Si l'opérateur n'attribue pas d'adresse IP publique propre (CGNAT), les connexions entrantes sont impossibles : on recourt alors à un réseau superposé, à un serveur relais, ou l'on demande une IP publique à l'opérateur.

À ne pas confondre avec les VPN commerciaux

Les services qui promettent de « naviguer en privé » servent à masquer votre localisation ou à chiffrer le trafic sur un WiFi public. Ils ne donnent pas accès à votre bureau. Il s'agit ici d'une VPN qui vous appartient, vers votre propre réseau.

Comment se passe la mise en service

1. Vérifier le routeur et la connexion.
2. Définir qui a besoin d'un accès, et à quoi.
3. Créer une clé par personne et par appareil.
4. Installer l'application et tester de l'extérieur.
5. Documenter et fixer la procédure d'arrivée et de départ.