Pas un abonnement grand public partagé par des milliers de personnes : un tunnel WireGuard qui sort par nos adresses IP, depuis notre baie d'Equinix Aubervilliers, avec les débits et la latence d'un réseau opérateur.
Un VPN crée un tunnel chiffré entre votre appareil et un serveur que vous choisissez. Tout ce qui sort de votre machine y entre chiffré, ressort chez nous, puis part vers Internet avec notre adresse IP. Pour le site que vous consultez, la connexion vient de Paris et non de chez vous ; pour votre opérateur ou le réseau Wi-Fi sur lequel vous êtes branché, il n'y a qu'un flux illisible vers une seule destination.
Deux usages en découlent, et ils n'ont pas grand-chose à voir. Le premier est la confidentialité : sur un réseau public, dans un hôtel ou sur le Wi-Fi d'un campus, personne ne voit plus quels services vous utilisez. Le second, celui qui nous intéresse le plus chez nos clients, est l'accès distant : votre poste se retrouve sur le même réseau privé que vos serveurs, et vous pouvez administrer une base de données ou un panel sans ouvrir le moindre port sur Internet.
C'est la différence avec un VPN grand public. Ces services sont conçus pour changer de pays et regarder un catalogue vidéo ; le nôtre est conçu pour relier des machines. Les deux reposent sur la même technologie, mais un VPN d'hébergeur vous donne une adresse IP stable, que vous pouvez autoriser dans un pare-feu, et un débit qui n'est pas partagé avec des milliers d'abonnés.
Trois différences qui se voient à l'usage, pas seulement sur le papier.
| Critère | WireGuard | OpenVPN |
|---|---|---|
| Taille du code | Quelques milliers de lignes, auditables | Plusieurs centaines de milliers de lignes |
| Reconnexion | Instantanée, le tunnel survit au changement de réseau | Renégociation complète à chaque coupure |
| Débit | Proche du débit brut de la ligne | Surcoût CPU sensible sur les petites machines |
| Configuration | Un fichier de quinze lignes, une paire de clés | Certificats, autorité de certification, options nombreuses |
| Cryptographie | Jeu d'algorithmes figé et moderne | Négociable, donc à surveiller |
Le point qui fait basculer la plupart des utilisateurs est la reconnexion. Avec WireGuard, passer du Wi-Fi à la 4G ne coupe pas la session : le tunnel reprend sur la nouvelle adresse sans que l'application ne s'en aperçoive. Sur un poste nomade, c'est la différence entre un VPN qu'on laisse allumé et un VPN qu'on éteint parce qu'il gêne.
Les quatre situations qui reviennent le plus souvent dans les demandes que nous recevons.
Plutôt que de laisser SSH, un panel ou phpMyAdmin accessibles depuis Internet, vous fermez tout et vous n'autorisez que l'adresse du tunnel. La surface d'attaque tombe à une seule porte, et elle ne répond qu'à vos clés. C'est le prolongement naturel de ce qu'explique notre guide sur la sécurisation d'un VPS Linux.
Un VPS de production, un serveur de sauvegarde, un poste de développement : le tunnel les place sur le même réseau privé, quel que soit leur hébergeur. Les échanges internes ne transitent plus en clair sur Internet et n'ont plus besoin d'adresses publiques.
Réseau d'entreprise, campus, hôtel : beaucoup ne laissent sortir que les ports web. Le tunnel encapsule tout le reste, y compris les ports exotiques d'un serveur de jeu ou d'une base de données distante.
Pour un administrateur de serveur de jeu exposé, ne pas laisser fuiter son adresse personnelle évite les représailles les plus bêtes. C'est le même raisonnement que celui du proxy FiveM, appliqué au poste de l'administrateur plutôt qu'au serveur.
Le tunnel part de notre baie d'Equinix Aubervilliers, la même que celle qui héberge nos VPS NVMe et nos serveurs dédiés. Vous recevez un fichier de configuration WireGuard par appareil, avec sa propre paire de clés : révoquer un téléphone perdu ne casse pas les autres accès.
La latence depuis la France métropolitaine se situe dans les mêmes eaux que celle de nos serveurs de jeu, soit une poignée de millisecondes depuis la plupart des opérateurs nationaux — le sujet est détaillé dans notre article sur la latence et l'hébergement en France. Depuis l'étranger, comptez le trajet aller-retour jusqu'à Paris : un tunnel ne raccourcit jamais une distance.
Le client WireGuard officiel existe sur toutes les plateformes courantes et la procédure ne change presque pas.
Installez le client WireGuard, importez le fichier .conf que nous vous transmettons, activez le tunnel. Rien d'autre à régler : les routes et le DNS sont déjà dans le fichier.
Le module est intégré au noyau depuis la version 5.6. Placez le fichier dans /etc/wireguard, puis activez le service avec wg-quick. Sur un serveur, un simple systemctl enable suffit à le remonter au démarrage.
L'application officielle lit un QR code : vous scannez celui que nous générons et le profil est en place. Pratique pour ajouter un téléphone sans manipuler de fichier.
OpenWrt, pfSense, OPNsense et la plupart des firmwares récents embarquent WireGuard. En le montant sur le routeur, tout le réseau local passe par le tunnel sans configuration poste par poste.
Un tunnel déplace le point de confiance, il ne le supprime pas. Votre opérateur ne voit plus votre trafic : nous, en revanche, sommes sur le chemin. Nous conservons les données de connexion que la loi française impose à un opérateur, ni plus ni moins, et nous ne les communiquons que sur réquisition d'une autorité compétente. Un fournisseur qui promet l'anonymat absolu tout en opérant depuis l'Union européenne vous raconte une histoire.
Un VPN ne vous rend pas anonyme non plus vis-à-vis des sites que vous visitez : si vous vous connectez à un compte, le compte vous identifie, tunnel ou pas. Il ne remplace pas davantage un antivirus, ne bloque pas les traceurs et ne protège pas contre le hameçonnage.
Enfin, il ne rend pas la connexion plus rapide. Dans le meilleur des cas, vous conservez le débit de votre ligne ; le chiffrement et le détour par Paris coûtent toujours quelques millisecondes. L'intérêt est ailleurs.
SSH, firewall, fail2ban, mises à jour automatiques : le guide complet pour sécuriser votre serveur VPS Linux dès la première connexion et éviter les.
Reverse proxy FiveM sur un VPS : ce qu'il protège vraiment, ses limites, et comment le monter avec WireGuard et Nginx, directives server.cfg comprises.
Cloud Act américain, transferts hors UE, sous-traitants : comprendre les obligations RGPD de votre hébergeur et pourquoi un datacenter français simplifie.
Dites-nous combien d'appareils vous voulez raccorder et ce que vous devez atteindre : nous vous envoyons la configuration et le tarif correspondant.
