VPN — Site-à-site, client-to-site, IPsec et WireGuard

Le VPN (Virtual Private Network) crée un tunnel chiffré sur internet. En PME, il sert à connecter les agences entre elles, à permettre le télétravail sécurisé ou à accéder aux ressources internes depuis l'extérieur.

Les deux grands types de VPN

VPN site-à-site : connecte deux réseaux locaux entre eux via internet, de manière permanente. Les utilisateurs des deux sites accèdent aux ressources de l'autre réseau comme si c'était le même LAN.

Usage PME : relier le siège (Paris) à une agence (Lyon). Les employés lyonnais accèdent aux serveurs parisiens sans manipulation particulière.

VPN client-to-site (Remote Access VPN) : un utilisateur individuel (en télétravail, en déplacement) se connecte au réseau de l'entreprise depuis son poste.

Usage PME : télétravail, accès aux applications internes depuis l'extérieur.

IPsec — le protocole fondateur

IPsec (Internet Protocol Security) est la suite de protocoles standard pour les VPN. Il opère en couche 3 (réseau) et offre :

• Chiffrement (ESP — Encapsulating Security Payload) : les données sont illisibles sans la clé
• Authentification (AH — Authentication Header) : garantit l'intégrité et l'identité
• Gestion des clés (IKE — Internet Key Exchange) : négociation automatique des clés

IPsec a deux modes :

• Mode transport : chiffre uniquement le contenu (payload) — utilisé entre deux machines
• Mode tunnel : chiffre tout le paquet IP original et l'encapsule dans un nouveau paquet — utilisé pour les VPN

sequenceDiagram
    participant A as Site Paris (pfSense)
    participant I as Internet
    participant B as Site Lyon (pfSense)

    A->>I: Phase 1 IKE — négociation paramètres
    I->>B: Transmission négociation
    B-->>A: Accord sur chiffrement (AES-256, SHA-256)
    A->>B: Phase 2 — tunnel IPsec établi
    Note over A,B: Tout le trafic entre les deux sites est chiffré dans le tunnel
    A->>B: Trafic chiffré (paquet original encapsulé)
    B->>A: Trafic chiffré retour

WireGuard — le challenger moderne

WireGuard est un protocole VPN moderne, créé en 2015, intégré au noyau Linux depuis 2020. Il est radicalement plus simple qu'IPsec :