VPN - Réseau privé virtuel

entreprise, internet, réseau

Un réseau privé virtuel (Virtual Private Network en anglais, abrégé en VPN) est un tunnel permettant d'interconnecter deux réseaux privés distants via Internet. Cela permet d'accéder aux services disponibles sur un réseau privé distant comme si il s'agissait d'un réseau local.

Par extension on utilise souvent un VPN pour utiliser une adresse publique différente de la sienne dans le cadre d'un accès à Internet. De nombreux fournisseurs mettent en avant cette pratique.

En matière de VPN il ne faut donc pas confondre :

la solution logicielle : un couple client (sur son ordinateur personnel) / serveur (à distance, généralement mis à disposition par le fournisseur du service, mais qu'on peut aussi installer soi-même sur un serveur tiers), qui permet techniquement de créer un tunnel chiffré entre les deux. Elle permet de se connecter à distance à son réseau personnel ou à celui de son entreprise, dans un cadre de télétravail par exemple.
et le service proposé par un fournisseur (généralement payant, pas toujours), qui propose donc une solution logicielle (propriétaire ou pas), une certaine bande passante et un certain trafic maximal par mois, et en principe un support technique. Ce genre de service s'apparente en réalité plus à un proxy : il s'agit simplement de changer d'adresse IP publique, pas de se connecter à un autre réseau privé.

Mon propre serveur VPN ?

Vous pouvez héberger un serveur VPN chez vous : sur un Raspberry Pi, un vieil ordinateur (sous Ubuntu Server notamment), sur un NAS… De plus les box de certains FAI (Free notamment) disposent d'un choix de serveurs VPN intégrés (utile donc pour continuer à utiliser le réseau de la maison et son adresse IP en déplacement).

Héberger un serveur VPN chez soi permet d'utiliser depuis n'importe quel accès Internet l'accès Internet de chez vous. Un exemple : Stéphane habite en France, et il est en vacances en Australie. Il se connecte au VPN qu'il héberge chez lui, sur un ordinateur resté allumé à la maison. Une fois connecté, les sites le verront connecté depuis son IP française, et il pourra se connecter à des appareils situés sur son réseau local, et qui n'ont pas d'accès direct à internet. Il pourra même accéder à des sites n'étant accessibles que depuis la France.

Le VPN en entreprise

De nombreuses entreprises proposent des accès VPN à leurs employés, pour qu'ils puissent accéder aux serveurs internes non connectés directement à internet. Ainsi, de nombreux employés utilisent un accès VPN de leur entreprise pour finir un travail depuis chez eux, télé-travailler…

Le VPN contre le "géoblocking"

Certains sites ou services ne sont pas accessibles (en totalité ou en partie) depuis certains pays. Prenons un exemple : TerFlix, un service de VOD, ne propose pas certains films dans son catalogue français. Catherine utilise un VPN pour se connecter au service avec une adresse IP aux États-Unis, afin d'accéder au catalogue plus étendu de ce pays.

Ainsi, utiliser un VPN avec une IP étrangère permet de passer outre un éventuel blocage dans votre pays. En revanche, certains services bloquent les VPN avec des techniques avancées (comme les API VPN and proxy detect)

Protéger son anonymat

Il est souvent prétendu que l'utilisation d'un VPN permet de garantir son anonymat ou d'assurer sa sécurité.
C'est un argument publicitaire FAUX.
Le VPN ne permet pas une navigation pleinement anonyme : au lieu de votre FAI, c'est votre fournisseur VPN et son FAI ou ses FAIs qui peuvent accéder à vos informations de navigation. En fonction de la loi du pays dans lequel ils se trouvent (souvent au Panama ou autres pays beaucoup plus "complaisants" que l'Europe), ce fournisseur et ces FAIs peuvent journaliser vos données, les fournir à la police de n'importe quel pays sur demande, ou à des régies publicitaires, etc. (et ont tout intérêt à le faire, quelles que soient leurs promesses, qui n'engagent à rien de plus que n'importe quel message publicitaire).

Il existe aussi des techniques qui permettent aux sites que vous consultez de connaître votre adresse réelle.

Sur Internet c'est le fingerprinting qui permet de vous identifier. Votre adresse IP n'en est qu'un faible élément peu signifiant.

Cet argument de protection de l'anonymat est un mythe entretenu par les fournisseurs de VPN.

À ce sujet vous pouvez consulter ce gist GitHub (en anglais) ou sa traduction, et cette vidéo (en français).

De plus comme l'intégralité du trafic du système d'exploitation est redirigée vers le serveur (contrairement à un proxy qui offre la possibilité de ne rediriger que le trafic d'une application en particulier), le prestataire a la possibilité technique d'en loguer l'intégralité, ce qui peut poser des problèmes de sécurité et de confidentialité (par la fuite d'informations privées, comme des mots de passe censés être utilisés sur le réseau local).

Pour une navigation anonyme utilisez plutôt TOR. C'est le seul système qui empêche tout tiers de connaître à la fois votre adresse et le site que vous consultez.

Un VPN peut permettre de cacher votre adresse IP réelle aux yeux de votre correspondant (généralement le site que vous consultez) et permet de chiffrer votre trafic, aux yeux de votre FAI et du gouvernement du pays dans lequel vous vous trouvez. Par contre ce FAI peut voir votre utilisation d'un VPN et connaître son identité. De plus votre identité numérique est généralement définie beaucoup plus largement et précisément que par votre adresse IP (voir ce qui concerne le web fingerprint sur la page concernant l'anonymat).

Le garant courant de votre vie privée lorsque vous naviguez sur le web est surtout l'utilisation du protocole HTTPS qui assure de bout en bout (cette fois) le chiffrement des données que vous échangez avec un site internet.

OpenVPN - Solution VPN libre la plus utilisée.¹⁾
- client OpenVPN : pour configurer le client.
WireGuard
SoftEther VPN

Le secteur du VPN est très lucratif, souvent pour de mauvaises raisons. Le marketing est souvent très agressif, les pratiques commerciales peuvent être douteuses, programmes d'affiliation, supports inexistants, résiliations compliquées…

Attention aussi aux sites de comparatifs de VPN qui fleurissent partout sur le web. Une même société peut posséder de nombreux services différents (une société un peu douteuse en particulier rachète les fournisseurs un par un), et ces comparatifs sont rarement neutres (euphémisme).
À ce sujet, voir ces articles :

MacGeneration (édifiant) : sans surprise, certains éditeurs de VPN se payent des sites de comparatifs
Jonah Aragon (de Privacy Guides) : (en) The Trouble with VPN and Privacy Review Sites

Il existe une multitude d'offres VPN accessibles à tous disponibles sur internet. Très souvent, ces offres proposent de nombreuses adresses IP dans une multitude de pays.

Il existe également des offres VPN gratuites, qui se financent souvent en ajoutant des publicités ciblées ou des trackers à votre navigation, et en dressant et revendant votre profil consommateur.

En matière de choix de fournisseurs de services VPN, beaucoup d'éléments sont à prendre en considération en fonction évidemment de vos besoins :

qualité de la solution logicielle (en particulier pour le client qui sera installé sur votre machine : WireGuard ? OpenVPN ? disponible sur Linux ? libre ? propriétaire ? plein de trackers ?)
bande passante (débit maximum)
trafic maximum par mois
pays disponibles (dans lesquels se trouvent les serveurs)
confidentialité des données - ce qui est important ! Elle est liée à la loi du pays à laquelle est soumis le fournisseur (ainsi que celle du pays où se trouvent les serveurs utilisés), à son devoir et sa décision de journaliser ou pas les données des utilisateurs, de les révéler à la police de différents pays, éventuellement de les revendre à des annonceurs (et pour tout ça il faut faire confiance à ce que déclare le fournisseur de VPN vu qu'on n'a aucun moyen technique de vérifier ce qui se passe au sein de la structure : les événements ont démontré que de nombreux fournisseurs – sinon la plupart – mentent à ce sujet).
qualité / disponibilité / langue du support technique
prix
éventuellement si il fournit aussi une solution de proxy (pratique pour ne rediriger qu'une partie du trafic, depuis un logiciel précis par ex.)

Privacy Guides²⁾ est un site web collaboratif³⁾ à but non lucratif et à vocation sociale. Il fournit une boîte à outils anti-surveillance. Voici leurs recommandations en matière de services VPN : Founisseurs / Services VPN.

WireGuard

WireGuard est un protocole récent associé à un logiciel libre. Il offre un bon niveau de sécurité ainsi qu'une grande simplicité d'utilisation. C'est sans doute le meilleur choix pour mettre en place un VPN fonctionnel et fiable rapidement.

OpenVPN

OpenVPN⁴⁾ est un autre protocole ouvert associé à un logiciel libre. Il est cependant bien plus ancien que WireGuard. Il offre aussi un excellent niveau de sécurité mais sa mise en place est plus complexe. Il offre en revanche une configuration plus complète et souple.

PPTP

(obsolète)

PPTP (Point-to-point tunneling protocol, soit protocole de tunnel point à point) était un protocole d'encapsulation PPP sur IP conçu par Microsoft, permettant la mise en place de réseaux privés virtuels (VPN) au-dessus d'un réseau public.

Le protocole PPTP, bien que pratique à configurer, n'est plus recommandé depuis au moins 2014 en raison de ses failles de sécurité connues.

Mieux vaut lui préférer par exemple WireGuard, au moins aussi simple à mettre en place et mieux sécurisé, ou OpenVPN, plus complexe mais fiable.

L2TP (Layer 2 Tunneling Protocol) et IPsec sont des protocoles inspirés de PPTP et chargés de le remplacer.

Sur Ubuntu c'est la section Réseau de GNOME Paramètres qui permet de se connecter au réseau VPN de son choix utilisant au moins un protocole ouvert.

La méthode suivante est expliquée pour KNetworkManager sous KDE, mais est certainement valable à quelques détails près avec les autres logiciels de gestion de réseau.

Testé sous l'environnement Unity : vous aurez besoin des paquets network-manager-openvpn et network-manager-openvpn-gnome.

Pour se connecter sur un réseau VPN il suffit d'ouvrir votre gestionnaire de réseau (par exemple KNetworkManager sous KDE) en cliquant sur l'icône réseau dans la barre des taches. Dans le menu qui s'ouvre, sélectionner "Gérer les connexions", puis aller dans l'onglet "VPN". Pour ajouter une nouvelle connexion, deux possibilités :

votre fournisseur VPN vous fournit un fichier de configuration utilisable directement, il suffit alors d'importer la configuration en cliquant sur "Importer" ;
autrement, il vous faudra remplir les informations manuellement. Cliquer donc sur "Ajouter", en sélectionnant le protocole utilisé par votre serveur VPN (par exemple OpenVPN). Une fois ceci rempli, la configuration dépend du protocole, mais le principe est semblable : il faut remplir l'adresse du serveur, l'identifiant, et fournir un certificat et un mot de passe.