VPN (Virtual Private Network) : guide pratique 2026

Le VPN (Virtual Private Network) d'entreprise est en fin de vie programmée : Gartner annonçait en 2021 que 70% des nouveaux déploiements d'accès distant remplaceraient le VPN par le ZTNA (Zero Trust Network Access) d'ici 2025, la trajectoire est tenue. Les raisons sont techniques, pas idéologiques : entre janvier et avril 2024, 4 CVE critiques exploitées zero-day ont touché les appliances VPN majeures (Ivanti Connect Secure CVE-2024-21887 CVSS 9.1, FortiGate SSL-VPN CVE-2024-21762 CVSS 9.6, Palo Alto GlobalProtect CVE-2024-3400 CVSS 10.0, Cisco ASA CVE-2024-20353), avec des campagnes attribuées à UNC5325, Volt Typhoon et Salt Typhoon documentées par CISA et Mandiant. Côté protocoles, WireGuard (4000 lignes de code, intégré Linux 5.6 en mars 2020) écrase OpenVPN (600 000 lignes) en perfs et en surface d'audit. Cet article documente les trois protocoles (IPsec, OpenVPN, WireGuard) qui structurent le marché, le virage ZTNA, les CVE 2024-2025 qui ont accéléré la migration, la stack pratique (Tailscale, Twingate, Cloudflare Zero Trust, Zscaler ZPA), et les anti-patterns persistants en entreprise.

Pour le contexte d'architecture moderne : voir Zero Trust Architecture (ZTA). Pour les fondamentaux crypto sous-jacents : TLS (Transport Layer Security) et PKI (Public Key Infrastructure).

Le bon mental model : VPN ≠ sécurité, VPN = tunnel chiffré

Le piège conceptuel le plus fréquent : croire qu'un VPN « sécurise » par essence. Faux. Un VPN établit un tunnel chiffré entre deux endpoints. Ce tunnel garantit la confidentialité du trafic vis-à-vis du réseau intermédiaire et l'authentification des deux extrémités. Il ne garantit rien sur :

• la sécurité du endpoint du côté distant (un laptop infecté reste infecté dans le tunnel) ;
• l'intégrité de l'application accessible derrière le VPN (un IIS vulnérable reste exploité une fois la session VPN établie) ;
• la limitation du blast radius (le VPN classique donne accès à tout le LAN, c'est même son design) ;
• la posture device (chiffrement disque, EDR à jour, OS patché, rien n'est vérifié par défaut).

C'est précisément ce delta qui justifie le ZTNA : passer d'un modèle « tunnel = trust + full access » à un modèle « identité + posture + autorisation par application ». Le VPN n'est pas mauvais : il est insuffisant comme primitive unique de sécurité d'accès distant en 2026.

Anatomie des trois protocoles (IPsec, OpenVPN, WireGuard)

Différences techniques détaillées :

WireGuard a été conçu par Jason Donenfeld avec une obsession : simplicité = auditabilité = sécurité. La cryptographie est figée (pas de négociation cipher comme TLS), les clés sont statiques avec rotation possible, le routage est par clé (cryptokey routing). Linus Torvalds a qualifié le code de « work of art » à l'intégration en 5.6 (mars 2020).

# WireGuard server config minimale (/etc/wireguard/wg0.conf)
[Interface]
PrivateKey = <generated by: wg genkey>
Address = 10.10.0.1/24
ListenPort = 51820
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
 
[Peer]
PublicKey = <client public key>
AllowedIPs = 10.10.0.2/32

# WireGuard client (Linux/macOS)
sudo wg-quick up /etc/wireguard/wg0.conf
sudo wg show
# 30 secondes pour établir le tunnel, vs 60-90s OpenVPN

CVE VPN 2024-2025 : le tournant industriel

L'année 2024 a été un cataclysme pour les vendeurs de VPN appliances. Liste non exhaustive des CVE critiques exploitées en zero-day :

Le pattern récurrent : appliances exposées Internet sur 443/4500, code legacy non audité publiquement, exploitation par chaîne d'auth bypass + RCE, déploiement de webshell ou implant kernel pour persistance, pivot vers le LAN. CISA a émis l'Emergency Directive 24-01 sur Ivanti (1 février 2024) imposant la déconnexion immédiate des produits Ivanti aux agences fédérales US, du jamais vu pour un VPN entreprise.

Stack ZTNA et alternatives modernes 2026

Le marché ZTNA / SASE (Secure Access Service Edge) en mai 2026 :

Configuration Tailscale ACL minimale (fichier tailnet policy.hujson) :

{
  "groups": {
    "group:admins": ["alice@corp.io", "bob@corp.io"],
    "group:devs":   ["charlie@corp.io"]
  },
  "tagOwners": {
    "tag:prod":    ["group:admins"],
    "tag:staging": ["group:admins", "group:devs"]
  },
  "acls": [
    { "action": "accept", "src": ["group:admins"], "dst": ["tag:prod:22,443"] },
    { "action": "accept", "src": ["group:devs"],   "dst": ["tag:staging:*:*"] }
  ],
  "ssh": [
    { "action": "check", "src": ["group:admins"], "dst": ["tag:prod"], "users": ["root", "ubuntu"] }
  ]
}

Cette config remplace une appliance Cisco AnyConnect avec ACL XML de 2000 lignes, pour ~50€/mois sur 5 admins.

VPN site-to-site et exigences ANSSI

Le site-to-site IPsec sur appliances reste légitime en 2026 pour interconnecter deux datacenters ou un DC à un VPC cloud. Les contraintes ANSSI (Référentiel Général de Sécurité v2.0) imposent :

• IKEv2 uniquement (IKEv1 banni, RFC 9395 obsoletes IKEv1 in 2023) ;
• AES-GCM-256 ou ChaCha20-Poly1305 ;
• DH groupe 19, 20, 21 (ECP P-256, P-384, P-521) ou groupe 28 (Brainpool) ;
• PFS (Perfect Forward Secrecy) activé (PFS = Forward Secrecy = nouvelle clé de session à chaque rekey) ;
• rekeying ≤ 1h ou ≤ 1 GB de données ;
• certificats X.509 avec PKI privée préférée à PSK pour > 5 sites.

Côté cloud, les services managés (AWS Site-to-Site VPN, Azure VPN Gateway, GCP Cloud VPN) gèrent IPsec/IKEv2 nativement avec failover BGP. Tarif indicatif AWS : 0.05$/heure par tunnel + traffic out, soit ~36$/mois par tunnel idle. WireGuard sur instance EC2 t4g.small fait le même boulot pour ~12$/mois mais sans support managé.

Pour le grand public : Mullvad, Proton VPN, IVPN, et les limites

Le marché VPN grand public est saturé de marketing trompeur. Quelques faits 2025-2026 :

• Mullvad (Suède, fondé 2009) : audits Cure53 en 2018, 2020, 2023, payant en cash/Monero, no-log audité, retrait de WireGuard port-forwarding en mai 2023 (raisons légales), 5€/mois flat. Référence du marché privacy-conscious.
• Proton VPN (Suisse, fondé 2017) : intégré Proton Mail/Drive, audit Securitum, plan gratuit honnête (3 pays, vitesse réduite), 10€/mois Plus.
• IVPN (Gibraltar, fondé 2009) : audit Cure53 2019 et 2022, no-log, multi-hop, 6$/mois Standard, 10$/mois Pro.
• NordVPN (Panama) : breach 2018 sur serveur Finlande révélé en 2019, plus gros budget marketing. Pas un mauvais produit, mais à ne pas vendre comme outil d'anonymat sérieux.
• ExpressVPN : racheté 2021 par Kape Technologies (Crossrider/StartPage controverse), confiance dégradée.

Erreurs fréquentes en exploitation VPN

Mapping framework : VPN dans les référentiels

Pour aller plus loin

• Zero Trust Architecture (ZTA), le modèle qui remplace progressivement le VPN d'accès distant en entreprise.
• TLS (Transport Layer Security), la primitive crypto sous-jacente d'OpenVPN et de la plupart des solutions ZTNA.
• PKI (Public Key Infrastructure), pour gérer les certificats VPN à l'échelle entreprise.
• CVE (Common Vulnerabilities and Exposures), pour suivre les CVE VPN appliances qui pleuvent depuis 2023.
• IOC (Indicators of Compromise), IOC VPN type Volt Typhoon, UNC5325 sont publiés par Mandiant et Volexity.
• Sources externes : WireGuard whitepaper, CISA Emergency Directive 24-01, ANSSI guide IPsec, Mandiant Ivanti report.

Points clés à retenir

• VPN d'accès distant entreprise en fin de vie face au ZTNA : Gartner prédisait 70% de remplacement d'ici 2025, trajectoire tenue.
• 4 CVE VPN majeures exploitées zero-day en janvier-avril 2024 : Ivanti CVE-2024-21887, FortiGate CVE-2024-21762, Palo Alto CVE-2024-3400 (CVSS 10.0), Cisco ASA CVE-2024-20353. Plus 2 nouvelles CVE Ivanti en 2025.
• WireGuard (2016, intégré Linux 5.6 mars 2020) : 4000 lignes de code vs 600 000 pour OpenVPN, perfs 2-4x supérieures, audit Trail of Bits 2018.
• 5 cipher suites WireGuard figées (ChaCha20-Poly1305, Curve25519, BLAKE2s), pas de négociation = pas de downgrade attack.
• IPsec/IKEv2 reste pertinent pour site-to-site inter-DC sur appliances Cisco/Fortinet/Juniper et exigences ANSSI/FIPS.
• ZTNA leaders 2026 : Cloudflare Zero Trust (gratuit ≤ 50 users), Zscaler ZPA, Tailscale, Twingate, Netskope. Tarif 7-22$/user/mois.
• Tailscale (basé WireGuard) : 4M users, plan Personal gratuit 100 devices, ACL via fichier tailnet policy.hujson, MagicDNS auto.
• ANSSI RGS v2.0 impose pour IPsec : IKEv2, AES-GCM-256 ou ChaCha20-Poly1305, DH groupe 19+ (ECP P-256+), PFS, rekey ≤ 1h ou 1 GB.
• Tout VPN appliance non patché à J+7 d'une CVSS ≥ 9 sur composant exposé Internet doit être considéré probablement compromis, IR + rebuild, pas juste patch.
• Position : VPN ≠ anonymat, VPN = tunnel chiffré. Marketing « VPN = anonymat total » est trompeur, voire dangereux pour profils à risque (Tor seul outil sérieux d'anonymat).
• Erreurs fréquentes : split tunneling sans contrôle DNS, MTU non ajusté, PSK partagé inter-sites, ACL « allow LAN/24 », pas de MFA sur portail.
• MITRE ATT&CK référence VPN comme T1133 (External Remote Services, vecteur APT) et T1572 (Protocol Tunneling pour C2 covert).