Qu'est-ce qu'un VPN ?

Comment fonctionne un VPN ?

Un VPN repose sur trois mécanismes qui fonctionnent de concert. Le chiffrement convertit les données lisibles en texte chiffré à l'aide d'algorithmes cryptographiques robustes tels qu'AES-256, rendant le trafic intercepté inutilisable sans les clés. La tunnelisation encapsule les paquets chiffrés dans d'autres paquets réseau afin qu'ils transitent en toute sécurité sur l'internet public, formant un chemin privé entre l'appareil et le réseau de destination. L'authentification vérifie l'identité de l'utilisateur ou de l'appareil avant l'établissement du tunnel, à l'aide d'identifiants, de certificats et, idéalement, d'une authentification multifacteur (MFA). Les déploiements modernes vérifient également la posture de sécurité de l'appareil avant d'autoriser la connexion.

En pratique, une session suit un déroulement simple. L'utilisateur ouvre le client VPN et s'authentifie. Le client chiffre tout le trafic sortant avant qu'il ne quitte l'appareil. Les données chiffrées transitent par le tunnel vers le serveur ou la passerelle VPN, qui les déchiffre et les transmet à leur destination, qu'il s'agisse d'une application interne ou d'un site web, en présentant sa propre adresse IP à la place de celle de l'utilisateur. Les réponses empruntent le même chemin en sens inverse, à nouveau chiffrées. Pour le monde extérieur, la localisation et l'identité de l'utilisateur sont celles du serveur VPN ; pour l'utilisateur, c'est comme être directement connecté au réseau privé.

Pourquoi les VPN sont-ils indispensables ?

Les connexions internet dans les cafés, hôtels et aéroports sont intrinsèquement exposées. Le trafic non chiffré sur un Wi-Fi partagé peut être capté, et les attaques par interception peuvent subtiliser des identifiants et des données sensibles. Pour les entreprises, les enjeux sont encore plus importants. Le travail à distance et hybride contraint les employés à accéder régulièrement aux applications internes, aux partages de fichiers et aux environnements cloud depuis des réseaux que l'entreprise ne contrôle pas, et les réglementations telles que le Règlement général sur la protection des données (RGPD) ou le PCI DSS imposent des mesures de protection pour les données en transit. Un VPN répond à ces deux problèmes : il rend le trafic intercepté illisible et offre aux équipes un chemin cohérent et authentifié vers les ressources de l'entreprise. Il permet également de connecter des bureaux distants et des centres de données de manière sécurisée via l'internet, sans avoir à payer des lignes dédiées ou des circuits MPLS. C'est pourquoi la technologie VPN, malgré ses décennies d'existence (OpenVPN, l'une des premières implémentations largement adoptées, date de 2001), reste un pilier des réseaux d'entreprise.

Types de VPN

VPN d'accès distant

Connecte l'appareil d'un utilisateur individuel à un réseau privé via l'internet. C'est la configuration classique pour les télétravailleurs : l'ordinateur portable, la tablette ou le téléphone devient temporairement membre du réseau de l'entreprise, avec accès aux serveurs internes, aux bases de données et aux applications intranet comme s'il était physiquement sur site.

VPN site à site

Connecte deux réseaux entiers ou plus, comme le réseau local (LAN) d'un siège social avec des succursales ou un centre de données. Le trafic entre les sites est chiffré au niveau de la passerelle, de manière transparente pour les utilisateurs. Les VPN site à site sont la solution standard pour interconnecter les sites des grandes organisations sans lignes dédiées.

VPN SSL (sans client)

Offre l'accès à des applications spécifiques via un navigateur compatible HTML5 et le portail de connexion de l'entreprise, sans installation de client complet. Utile pour les prestataires, les appareils personnels et l'accès rapide à un ensemble défini d'applications web.

VPN mobile

Conçu pour les terminaux qui se déplacent entre différents réseaux, maintenant la session sécurisée active lorsque l'appareil bascule entre le Wi-Fi et le réseau cellulaire. Très utilisé dans les services sur le terrain, la santé et la sécurité publique.

VPN cloud

Connecte les utilisateurs ou les réseaux d'entreprise directement à une infrastructure virtuelle hébergée dans des environnements cloud tels qu'AWS ou Azure, sécurisant le lien entre les opérations sur site et les charges de travail cloud.

VPN personnel

Le modèle de service grand public : une application par abonnement qui fait transiter le trafic personnel par les serveurs du fournisseur, pour la confidentialité sur les Wi-Fi publics, la protection contre le suivi des fournisseurs d'accès à internet (FAI) et l'accès à des contenus géo-restreints.

Comparatif des types de VPN

Comparatif des protocoles VPN

Le protocole définit la façon dont le tunnel est créé et sécurisé, et détermine l'équilibre entre sécurité, performance et compatibilité.

Les avantages d'un VPN pour les entreprises

Pour les organisations, la valeur est concrète. Un VPN sécurise l'accès distant, permettant aux employés de travailler depuis n'importe quel endroit avec les mêmes ressources qu'au bureau, protégés par une authentification robuste et, de plus en plus, par des vérifications de la posture de l'appareil avant l'autorisation de connexion. Il protège les données en transit, préservant les identifiants, la propriété intellectuelle et les communications internes de toute interception, ce qui soutient directement les obligations de conformité. Il interconnecte les sites à une fraction du coût des lignes dédiées et relie les environnements sur site aux plateformes cloud de manière sécurisée. Il peut également appliquer des politiques : le trafic transitant par la passerelle de l'entreprise peut être inspecté, filtré et journalisé, offrant aux équipes de sécurité une visibilité qu'elles n'auraient pas sur des connexions internet brutes.

Bref historique des VPN

La technologie VPN a grandi avec l'internet lui-même. Les premiers protocoles de tunnelisation sont apparus au milieu des années 1990 avec PPTP, conçu pour permettre aux utilisateurs de se connecter aux réseaux d'entreprise via des connexions dial-up. Au fur et à mesure que l'utilisation d'internet s'est accélérée à la fin des années 1990 et au début des années 2000, le besoin de protéger les particuliers et les entreprises qui en dépendaient a également augmenté, et IPsec est devenu le standard de référence en entreprise pour les liens site à site chiffrés. OpenVPN, publié en open source en 2001, a marqué un tournant. Son chiffrement robuste basé sur SSL/TLS et sa capacité à traverser les pare-feux ont rendu l'accès distant sécurisé largement accessible, et il reste encore très déployé aujourd'hui. Les années 2010 ont vu l'essor des VPN grand public, porté par les préoccupations liées à la vie privée et aux risques des Wi-Fi publics, et WireGuard a modernisé le paysage des protocoles avec un code minimal et des performances nettement supérieures. Le passage au travail à distance et hybride des années 2020 a fait des VPN une infrastructure critique du jour au lendemain, tout en exposant leurs limites structurelles, alimentant la transition actuelle vers les modèles zéro confiance. Les VPN sont matures, omniprésents, et de plus en plus complétés ou remplacés par le ZTNA pour l'accès des utilisateurs.

Bonnes pratiques VPN pour les entreprises

1. Imposer le MFA sur chaque connexion VPN : Les identifiants volés sont le moyen le moins coûteux de pénétrer un réseau, et un mot de passe seul n'est pas un contrôle suffisant. Associez le MFA à des déclencheurs basés sur les anomalies, dans la mesure du possible.
2. Patcher la passerelle comme une infrastructure critique : Traitez les avis de sécurité relatifs aux appliances VPN comme des urgences, pas comme une maintenance de routine. Les vulnérabilités nouvellement divulguées sur les passerelles exposées à internet sont exploitées en quelques jours.
3. Vérifier la posture des appareils avant la connexion : Contrôlez la version du système d'exploitation, le niveau de correctifs et l'état de la protection des terminaux pour qu'un ordinateur compromis ne puisse pas utiliser un tunnel sain.
4. Appliquer le principe du moindre privilège derrière le tunnel : Segmentez le réseau pour qu'une session VPN n'accède qu'à ce dont le rôle de l'utilisateur a besoin, limitant ainsi les déplacements latéraux en cas de compromission d'un compte.
5. Abandonner les protocoles hérités : Désactivez PPTP et les autres protocoles défaillants, et standardisez sur IPsec/IKEv2, OpenVPN ou WireGuard avec des algorithmes modernes.
6. Collecter et surveiller les journaux VPN : Les événements d'authentification, les métadonnées de session et les journaux de passerelle doivent être transmis au SOC (Security Operations Center) et corrélés avec les données d'identité et de terminaux. Un VPN que personne ne surveille est un angle mort avec une adresse IP publique.

Ce qu'un VPN ne fait pas

Les VPN sont souvent surévalués, et il vaut la peine d'en nommer clairement les limites. Un VPN ne rend personne anonyme. Les services auxquels vous vous connectez vous reconnaissent toujours, les sites web continuent de déposer des cookies, et selon la juridiction, les fournisseurs peuvent être contraints de coopérer avec les autorités. Le chiffrement et le saut supplémentaire vers le serveur ont un coût en performance, même si les protocoles modernes le limitent.

Pour les entreprises, trois faiblesses structurelles méritent une attention particulière. Premièrement, l'accès étendu. Un VPN traditionnel connecte généralement l'utilisateur au réseau, et non à une application spécifique. Un identifiant volé peut donc ouvrir bien plus que nécessaire et permettre des déplacements latéraux. Deuxièmement, la passerelle VPN elle-même est un équipement exposé à l'internet. Les appliances VPN et de périmètre exploitées sont devenues l'un des vecteurs d'accès initial les plus courants dans les intrusions réelles, avec des vulnérabilités critiques dans les produits des principaux éditeurs activement ciblées par des groupes cybercriminels et des acteurs étatiques. Troisièmement, un VPN sécurise le tunnel mais ne dit rien de ce qui se passe à l'intérieur. Un malware sur un ordinateur authentifié emprunte la même connexion chiffrée que le trafic légitime.

VPN et ZTNA : quelle différence ?

Ces limites sont précisément celles que le zero trust network access a été conçu pour corriger, et la comparaison est devenue incontournable dans tout projet d'accès distant. Un VPN authentifie une fois puis connecte l'utilisateur au réseau, avec une confiance implicite par la suite. Le ZTNA, le composant d'accès distant d'une architecture zéro confiance, connecte les utilisateurs uniquement aux applications pour lesquelles ils sont autorisés, réévalue en continu l'identité, la posture de l'appareil et le contexte, et n'expose jamais le réseau ni les adresses IP publiques. De nombreuses organisations remplacent progressivement leurs VPN d'accès distant par le ZTNA, ou font coexister les deux le temps de la transition. Si vous conservez un VPN, renforcez-le avec le MFA partout, des correctifs rapides de la passerelle et une segmentation en moindre privilège derrière lui, et surveillez-le de près. Si vous passez au ZTNA, la même logique de surveillance s'applique au nouveau plan de contrôle.

Point d'expert : votre VPN est à la fois un contrôle et une cible

Un SOC voit quelque chose que la plupart des articles sur les VPN n'abordent pas. Dans les schémas d'intrusion actuels, le VPN n'est plus seulement un contrôle de sécurité ; c'est l'une des portes préférées des attaquants. Deux voies dominent. La première est l'exploitation de l'appliance elle-même. Les passerelles VPN et les équipements de périmètre exposés à l'internet sont continuellement scannés, et les vulnérabilités nouvellement publiées sont transformées en armes en quelques jours. La seconde est l'abus de comptes valides. Des identifiants volés ou hameçonnés sont utilisés pour se connecter simplement via le VPN, une technique que le MITRE ATT&CK répertorie sous les catégories external remote services et valid accounts, qui ne produit ni malware ni exploit, juste une connexion qui ressemble presque à une connexion normale.

Les deux voies sont détectables si la télémétrie est correctement surveillée. Les journaux d'authentification VPN, les événements de passerelle et l'activité réseau qui s'ensuit figurent parmi les sources les plus précieuses qu'un SOC puisse collecter. La plateforme SOC Sekoia les ingère via plus de 300 intégrations couvrant les principaux équipements VPN, pare-feux et fournisseurs d'identité, et Sekoia Defend applique environ 1 000 règles de détection mappées sur le MITRE ATT&CK pour identifier les schémas qui comptent : déplacements impossibles et horaires de connexion anormaux, connexions depuis une infrastructure suspecte, force brute contre le portail et déplacements latéraux post-connexion. Les détections sont enrichies en Cyber Threat Intelligence (CTI) par Sekoia Intelligence, où notre équipe interne Threat Detection & Research suit l'exploitation des équipements de périmètre et l'écosystème criminel qui commercialise des identifiants VPN, et chaque nouvel Indicateur de Compromission (IoC) fait automatiquement l'objet d'une rétro-chasse sur vos événements passés. Pour les organisations européennes, cela s'accompagne d'une posture de souveraineté des données que les plateformes américaines offrent rarement. Combiné à la réponse automatisée aux incidents, une session VPN suspecte peut être coupée et le compte désactivé en quelques minutes. Gardez le tunnel, mais surveillez la porte.

Questions fréquentes

‍