VPN
Protocoles VPN : WireGuard, OpenVPN, lequel choisir
WireGuard, OpenVPN, IKEv2, Lightway, NordLynx : ce que chaque protocole change en vitesse et en sécurité, et lequel laisser activé.
Le protocole est la manière dont votre appareil et le serveur VPN construisent le tunnel entre eux. C'est un réglage que la plupart des gens ne touchent jamais, à juste titre, mais il vaut la peine de savoir ce qu'il y a derrière.
WireGuard, le standard actuel
WireGuard a remplacé tout le reste, et pour de bonnes raisons.
Il est beaucoup plus court : quelques milliers de lignes de code, contre des centaines de milliers pour OpenVPN. Cela paraît anecdotique et c'est décisif : moins de code signifie moins de surface d'attaque et un audit réellement possible.
Il est plus rapide. La différence se mesure sur la vitesse de connexion, quasi instantanée, et sur le débit, surtout sur mobile.
Il reprend mieux après une coupure, ce qui compte quand vous passez du wifi à la 4G plusieurs fois par jour.
Beaucoup de fournisseurs le proposent sous un nom maison :
| Nom commercial | Ce que c'est |
|---|---|
| NordLynx | WireGuard chez NordVPN, avec une couche qui règle la question des adresses IP attribuées |
| Lightway | Protocole maison d'ExpressVPN, même philosophie de légèreté |
| Stealth | Variante obfusquée chez Proton VPN |
OpenVPN, l'ancien qui sert encore
OpenVPN a été le standard pendant quinze ans. Il est éprouvé, très largement audité, et fonctionne partout.
Ses défauts sont sa lourdeur et sa lenteur relative, en particulier au moment de la connexion.
Il garde deux usages concrets. Il passe mieux sur certains réseaux d'entreprise qui filtrent les protocoles inhabituels, notamment dans sa variante qui utilise le port du trafic web classique. Et il reste parfois le seul disponible sur du matériel ancien, par exemple un routeur.
Gardez-le en tête comme solution de secours quand WireGuard ne se connecte pas.
IKEv2, le spécialiste du mobile
IKEv2 est apprécié pour sa gestion des changements de réseau : il reprend la connexion sans la relancer quand vous passez du wifi aux données mobiles.
WireGuard fait désormais aussi bien, donc IKEv2 a perdu son intérêt principal. Il reste présent dans la plupart des applications.
L'obfuscation, la couche en plus
Ce n'est pas un protocole à proprement parler, mais une surcouche.
Un tunnel VPN, même chiffré, a une signature reconnaissable. Un pare-feu national ou un réseau d'entreprise peut la détecter et bloquer la connexion sans jamais savoir ce qu'elle contient.
L'obfuscation déguise ce trafic pour qu'il ressemble à du trafic web ordinaire.
| Fournisseur | Nom de la fonction |
|---|---|
| NordVPN | NordWhisper |
| Proton VPN | Stealth |
| Surfshark | Mode Camouflage |
| ExpressVPN | Active par défaut, sans réglage |
Elle coûte un peu de vitesse, parce qu'elle ajoute un traitement. Ne l'activez donc que si vous en avez besoin : voyage dans un pays qui censure, réseau d'entreprise ou d'université qui bloque les VPN.
C'est le critère décisif pour la Chine, comme je l'explique dans meilleur VPN pour la Chine.
Ce que je vous conseille de faire
Laissez le réglage sur automatique. Les applications choisissent correctement dans la grande majorité des cas, et vous n'avez rien à y gagner en forçant un choix.
Ne touchez ce réglage que dans trois situations :
La connexion ne s'établit pas. Basculez sur OpenVPN, plus tolérant sur les réseaux filtrants.
Le débit est mauvais. Vérifiez que vous êtes bien sur WireGuard et non sur un protocole ancien laissé par défaut.
Vous partez dans un pays qui censure. Activez l'obfuscation avant de partir, et testez la connexion depuis la France.
Ce qui ne mérite pas votre attention
Les fournisseurs communiquent beaucoup sur le type de chiffrement employé. Tous les services sérieux utilisent des algorithmes équivalents et éprouvés.
Ce n'est pas là que se joue la différence entre un bon et un mauvais VPN. Elle se joue sur la politique de conservation des journaux et sur son audit, comme détaillé dans le guide no-log.