Qu'est-ce qu'un tunnel VPN, et comment fonctionne-t-il ?

« Tunnel » est l'un de ces mots que l'industrie du VPN emploie sans cesse et explique rarement. C'est pourtant une bonne métaphore, et une fois qu'elle fait tilt, le reste du fonctionnement d'un VPN se met en place.

Réponse courte : un tunnel VPN est la connexion chiffrée entre votre appareil et un serveur VPN. Vos données sont enveloppées dans une couche externe et brouillées, afin que le réseau sur lequel vous vous trouvez puisse les transporter sans pouvoir les lire ni voir où elles vont en fin de compte. Le « tunnel » est ce passage protégé à travers un réseau par ailleurs ouvert.

Points clés

• Un tunnel VPN = encapsulation (envelopper vos données) + chiffrement (les brouiller).
• Il masque votre trafic au réseau local et à votre fournisseur d'accès, et votre adresse IP aux sites que vous visitez.
• Il ne masque pas votre activité à un site auquel vous vous connectez, et il ne vous rend pas anonyme.
• Le « tunnel » est créé et sécurisé par un protocole VPN ; la norme moderne est WireGuard.

Ce qu'est un tunnel VPN

Imaginez l'internet ouvert comme une route publique très fréquentée. Normalement, vos données circulent sur cette route à découvert — quiconque se trouve sur le chemin (le Wi-Fi que vous utilisez, votre fournisseur d'accès) peut voir l'extérieur de chaque livraison : où elle va et, grossièrement, ce qu'elle est.

Un tunnel VPN est un passage couvert et verrouillé construit le long de cette même route, allant de votre appareil à un serveur VPN. Vos données empruntent le passage au lieu de circuler à découvert. Les observateurs peuvent voir que quelque chose circule entre vous et le serveur VPN, mais ni ce que c'est ni où cela se dirige ensuite. À l'autre bout, le serveur VPN déballe vos données et les envoie vers leur véritable destination.

Rien ne change physiquement à la route. Le tunnel est fait de logiciel — plus précisément, deux techniques qui œuvrent ensemble.

Comment fonctionne un tunnel VPN

1. L'encapsulation (l'enveloppe). Vos données internet habituelles sont découpées en paquets. Un VPN prend chaque paquet et le place à l'intérieur d'un autre paquet — comme sceller une lettre dans une seconde enveloppe. L'enveloppe externe n'est adressée qu'au serveur VPN. Quiconque lit l'enveloppe externe voit un paquet allant vers le VPN, et rien de la lettre d'origine à l'intérieur.

2. Le chiffrement (le verrou). L'encapsulation à elle seule ne ferait que masquer l'adressage. Le chiffrement brouille le contenu, de sorte que même si quelqu'un ouvrait l'enveloppe externe, l'enveloppe interne resterait illisible sans la clé. Seuls votre appareil et le serveur VPN détiennent les clés, sur lesquelles ils s'accordent lors d'une brève mise en place appelée handshake au moment de l'établissement du tunnel.

En les combinant : vos données sont enveloppées pour que le monde extérieur ne puisse pas voir leur véritable destination, et brouillées pour qu'il ne puisse pas en lire le contenu. Cette combinaison, c'est le tunnel.

Quand le tunnel est actif, le trafic de chaque app qui y est acheminé reçoit ce traitement. Quand il tombe, le trafic cesse de le recevoir — et c'est précisément pourquoi on se soucie de ce qui se passe à cet instant ; nous abordons ce point dans les kill switchs VPN sur iPhone.

Ce qu'un tunnel cache — et ce qu'il ne cache pas

C'est là que l'honnêteté compte, car « tunnel » peut faire penser à une cape d'invisibilité. Ce n'en est pas une.

Un tunnel VPN cache :

• Votre trafic au réseau local — le Wi-Fi du café ou de l'hôtel ne peut pas voir ce que vous faites.
• Votre trafic à votre fournisseur d'accès — il voit des données chiffrées partant vers un serveur VPN, pas les sites que vous visitez.
• Votre adresse IP aux sites web auxquels vous vous connectez — ils voient l'adresse du serveur VPN au lieu de la vôtre.

Un tunnel VPN ne cache pas :

• Ce que vous faites sur un site auquel vous vous connectez. Si vous vous connectez à un compte, ce service sait que c'est vous, tunnel ou pas.
• Votre identité au sens absolu. Un tunnel améliore votre confidentialité ; il ne vous rend pas anonyme, et tout fournisseur promettant de vous rendre invisible en ligne en fait trop. La confidentialité se construit par couches, elle n'est pas absolue — plus de détails sur cet état d'esprit dans ce que signifie vraiment une politique sans journaux.
• Ce qui se situe hors de la couche réseau, comme le fingerprinting de navigateur ou ce que vous partagez volontairement.

Si vous cherchez encore à déterminer si ces compromis en valent la peine pour vous, avez-vous besoin d'un VPN passe en revue cette décision.

Ce qui construit le tunnel : les protocoles

Un tunnel VPN est créé et sécurisé par un protocole — les règles convenues qui régissent la manière dont se déroulent l'encapsulation, le chiffrement et le handshake. Le protocole détermine la vitesse du tunnel, la rapidité de sa reconnexion et la modernité de sa cryptographie.

La norme actuelle à connaître est WireGuard : un protocole léger et rapide doté d'une base de code réduite, ce qui compte car moins de code signifie moins d'endroits où les bugs peuvent se cacher et une reconnexion plus rapide sur un téléphone qui change constamment de réseau. Des protocoles plus anciens comme OpenVPN et IKEv2 existent toujours et ont leurs usages. Nous les comparons face à face dans notre comparatif des protocoles.

Un mot sur le split tunneling

Comme les gens le recherchent en même temps que « tunnel VPN », cela mérite une ligne. Le split tunneling consiste à acheminer certaines apps à travers le tunnel tout en laissant les autres utiliser la connexion normale. C'est utile lorsque vous voulez, par exemple, protéger votre navigateur tout en laissant une app bancaire ou un appareil local contourner le VPN. C'est une vraie fonctionnalité sur certaines plateformes, mais iOS gère le routage au niveau des apps de façon plus restrictive que l'ordinateur de bureau, alors ne présumez pas la présence sur iPhone d'un bouton de split tunneling à la manière du bureau.

Un tunnel VPN est-il légal et sûr ?

Dans la plupart des pays, utiliser un VPN — et donc un tunnel VPN — est parfaitement légal et correspond précisément à ce que les banques et les entreprises emploient pour protéger leurs connexions. Quelques pays restreignent les VPN ; nous couvrons ce panorama dans notre guide sur la légalité des VPN. Quant à la sûreté, le tunnel lui-même en est la partie sûre. Ce qui varie, c'est de savoir si le fournisseur à l'autre bout est digne de confiance avec le trafic qu'il peut voir, ce qui est une question de politique de journalisation, pas de tunneling.

Questions fréquentes

Quelle est la différence entre un VPN et un tunnel ? Le tunnel est le passage chiffré ; le VPN est l'ensemble du service qui le crée et le fait fonctionner. « Tunnel VPN » désigne précisément la connexion protégée entre votre appareil et le serveur VPN.

À quoi sert le tunneling VPN ? Il enveloppe vos données pour que le réseau extérieur ne puisse pas voir leur véritable destination et les chiffre pour que le contenu ne puisse pas être lu — protégeant votre trafic en transit et masquant votre IP aux sites que vous atteignez.

Est-il légal d'utiliser un tunnel VPN ? Dans la plupart des pays, oui. Une poignée restreignent ou interdisent les VPN ; ce que vous faites à l'intérieur du tunnel reste soumis à la loi.

Qu'est-ce que le split tunneling ? Acheminer seulement certaines apps à travers le VPN tandis que les autres utilisent la connexion normale — pratique lorsque vous voulez une protection sélective. La prise en charge varie selon la plateforme, et iOS est plus restrictif que l'ordinateur de bureau.

En résumé

Un tunnel VPN, ce sont simplement deux idées qui œuvrent ensemble : envelopper vos données pour que leur destination soit masquée, et les brouiller pour que leur contenu ne puisse pas être lu. Cela vous offre une protection réelle face au réseau sur lequel vous vous trouvez et face à votre fournisseur d'accès, et masque votre IP aux sites — sans vous rendre anonyme. Le protocole construit le tunnel, et WireGuard est la norme moderne.

Snap VPN fonctionne avec WireGuard, n'exige ni compte ni adresse e-mail, et ne conserve pas de journaux de trafic. Il est disponible sur l'App Store.