Le protocole d'un VPN détermine trois choses : à quel niveau du réseau le tunnel s'établit, si le chiffrement est natif au protocole ou ajouté par-dessus, et avec quelle infrastructure il est compatible. Ces différences ne sont pas que théoriques : elles expliquent pourquoi un VPN d'entreprise et une application VPN grand public ne reposent presque jamais sur la même technologie.
IPSec (Internet Protocol Security) opère au niveau réseau (couche 3), directement sur les paquets IP. Il repose sur deux composants : AH (Authentication Header), qui authentifie l'origine des paquets sans les chiffrer, et ESP (Encapsulating Security Payload), qui chiffre et authentifie à la fois - c'est ESP qui est utilisé dans la quasi-totalité des déploiements actuels. L'échange des clés de chiffrement se fait via le protocole IKE (IKEv1, ou plus couramment IKEv2 aujourd'hui).
IPSec fonctionne en mode tunnel (l'ensemble du paquet IP d'origine est chiffré et encapsulé - utilisé pour les connexions site-à-site) ou en mode transport (seule la charge utile est chiffrée, l'en-tête IP original reste visible - plus rare, réservé à des cas spécifiques). Il est nativement supporté par la quasi-totalité des routeurs et systèmes d'exploitation, mais utilise les ports UDP 500 et 4500, parfois bloqués par des pare-feux restrictifs.
Source : IETF, RFC 4301 - Security Architecture for the Internet Protocol, RFC 4303 - ESP, RFC 7296 - IKEv2.
Le MPLS (Multiprotocol Label Switching) n'est pas un protocole VPN au sens où on l'entend pour IPSec ou WireGuard : c'est une technologie de routage vendue par les opérateurs télécoms pour interconnecter les sites d'une même entreprise via des « labels » qui accélèrent l'acheminement des paquets, sans repasser par l'Internet public.
Point souvent ignoré : le MPLS n'est pas chiffré nativement. La confidentialité repose sur le fait que le trafic circule sur un réseau privé de l'opérateur, isolé des autres clients - pas sur de la cryptographie. Pour des données sensibles, il est donc courant de superposer IPSec au MPLS. C'est une solution robuste et évolutive pour les entreprises multi-sites, mais plus coûteuse et plus lente à déployer qu'un VPN logiciel classique.
Source : IETF, RFC 3031 - Multiprotocol Label Switching Architecture.
Le VPN SSL (le nom est resté, bien qu'il s'agisse en réalité de TLS, son successeur) fonctionne au niveau applicatif et transite généralement sur le port 443 - le même que n'importe quel site web chiffré - ce qui lui permet de traverser presque tous les pare-feux sans configuration particulière.
Il existe deux formes bien distinctes : le SSL VPN portail, accessible directement depuis un navigateur sans rien installer, qui donne accès à une ou plusieurs applications web précises ; et le SSL VPN à tunnel complet, qui nécessite un client installé et chiffre l'ensemble du trafic, à la manière d'un VPN classique. C'est d'ailleurs sur ce principe que repose OpenVPN, l'un des logiciels VPN les plus utilisés au monde, qui utilise TLS pour l'échange de clés et l'authentification.
Sources : IETF, RFC 8446 - TLS 1.3 ; documentation technique officielle OpenVPN.
WireGuard est le protocole le plus récent des quatre, et le plus différent dans sa conception. Là où IPSec et OpenVPN supportent de nombreuses suites cryptographiques configurables (ce qui complique l'audit de sécurité), WireGuard impose un jeu d'algorithmes modernes fixes : ChaCha20 pour le chiffrement, Curve25519 pour l'échange de clés, Poly1305 pour l'authentification.
Son code source ne compte qu'environ 4 000 lignes, contre plusieurs centaines de milliers pour une pile IPSec ou OpenVPN complète - un atout réel pour l'audit et la réduction de la surface d'attaque. Il est également plus rapide et reprend une connexion quasi instantanément après un changement de réseau (passage du Wi-Fi à la 4G/5G par exemple), ce qui en fait aujourd'hui le choix par défaut de la plupart des applications VPN grand public récentes.
Source : Donenfeld, J.A., WireGuard: Next Generation Kernel Network Tunnel, whitepaper officiel présenté à NDSS 2017.
| Protocole | Niveau | Chiffrement natif | Transport | Idéal pour |
|---|---|---|---|---|
| IPSec | Réseau (couche 3) | Oui (via ESP) | UDP 500/4500 | Connexion site-à-site, télétravail |
| MPLS | Réseau opérateur | Non (isolation réseau, pas cryptographie) | Réseau privé opérateur | Grande entreprise multi-sites |
| SSL/TLS | Application | Oui | TCP 443 | Accès web ciblé ou tunnel complet (OpenVPN) |
| WireGuard | Réseau, implémentation moderne | Oui (ChaCha20 + Curve25519) | UDP (port configurable) | Usage quotidien, mobilité, performance |
Pour un usage personnel au quotidien, WireGuard offre aujourd'hui le meilleur compromis vitesse/sécurité/simplicité, et c'est le protocole que la majorité des applications VPN grand public proposent par défaut. IPSec reste pertinent pour connecter des sites d'entreprise entre eux ou pour un accès distant intégré nativement à un système d'exploitation. Le MPLS est une décision d'infrastructure réseau, pas un choix qu'un particulier active lui-même. Le SSL/TLS est indiqué quand seul un accès web précis doit être ouvert, sans exposer tout le réseau interne.
Pour comprendre en complément ce qu'un tunnel VPN change réellement par rapport à un simple proxy, voir notre page VPN ou Proxy.
De plus, en protégeant l'adresse IP, vous pouvez contourner les restrictions régionales.
