Un collaborateur ouvre son laptop dans un hôtel, se connecte au Wi-Fi du lobby et accède au CRM de l’entreprise. Entre son navigateur et le serveur, les données transitent en clair sur un réseau partagé avec des dizaines d’inconnus. C’est exactement le scénario que les réseaux privés virtuels sont conçus pour neutraliser, en créant un tunnel chiffré entre l’appareil distant et l’infrastructure de l’entreprise.
Appliances VPN exposées : une surface d’attaque sous pression
Les concurrents parlent du VPN comme d’un outil fiable et éprouvé. On oublie souvent que les passerelles VPN classiques (Cisco ASA, Fortinet, Ivanti Connect Secure, Check Point) sont elles-mêmes devenues des cibles prioritaires pour les attaquants. Ces appliances, accessibles publiquement sur Internet, offrent un point d’entrée que les scanners automatisés repèrent en quelques minutes.
Aux États-Unis, une initiative législative récente demande le retrait des appliances VPN héritées dans les agences fédérales sur un horizon de deux ans, au profit d’architectures Zero Trust. Le VPN n’est plus seulement recommandé, il est aussi mis sous pression réglementaire. Cette dynamique touche indirectement les prestataires privés qui travaillent avec ces administrations, et elle donne le ton pour le reste du marché.
En pratique, quand on déploie un VPN d’accès distant pour le télétravail, la première question n’est plus « quel protocole choisir » mais « comment réduire l’exposition de la passerelle elle-même ».
Tunnel chiffré et protocole IPsec : ce qui se passe concrètement sur le réseau
Un VPN d’entreprise encapsule le trafic de chaque utilisateur dans un tunnel chiffré. Le protocole IPsec reste le plus répandu pour les connexions site à site et les accès distants sur appareils gérés. Il opère à la couche réseau, ce qui signifie que toutes les applications (messagerie, partage de fichiers, accès bureau distant) passent dans le même tunnel sans configuration individuelle.
Ce que le chiffrement protège (et ce qu’il ne protège pas)
Le chiffrement protège la confidentialité des données en transit. Un attaquant positionné sur le même Wi-Fi public ne voit que des paquets illisibles. En revanche, le VPN ne filtre pas les menaces déjà présentes sur l’appareil : un poste infecté par un malware avant la connexion VPN transporte ce malware directement dans le réseau de l’entreprise.
C’est la raison pour laquelle un VPN seul ne constitue pas une solution de sécurité complète. Il doit fonctionner en tandem avec un antivirus à jour, un contrôle de conformité du poste et, idéalement, une segmentation réseau qui limite les déplacements latéraux en cas de compromission.
Modèle outbound-only : supprimer le portail VPN visible
Les architectures les plus récentes pour le télétravail sécurisé abandonnent le principe d’une passerelle VPN exposée sur Internet. Elles reposent sur des connecteurs internes qui établissent uniquement des connexions sortantes vers un plan de contrôle cloud. Le collaborateur distant s’authentifie auprès de ce plan de contrôle, qui autorise ensuite l’accès application par application.
Résultat concret : plus aucun portail VPN à scanner ou à attaquer depuis l’extérieur. Ce modèle outbound-only est au coeur des approches Zero Trust Network Access (ZTNA). Les retours varient sur la facilité de migration, surtout pour les PME qui n’ont pas d’équipe réseau dédiée, mais le principe technique est solide.
- Le connecteur interne initie la connexion vers le cloud, pas l’inverse : aucun port entrant à ouvrir sur le pare-feu de l’entreprise.
- Chaque utilisateur n’accède qu’aux applications autorisées, pas à l’ensemble du réseau, ce qui réduit drastiquement le périmètre en cas de compromission.
- L’authentification multifacteur (MFA) est vérifiée à chaque session, pas seulement à la première connexion de la journée.
Pour les structures qui gèrent des données sensibles (finance, RH, santé), cette granularité d’accès change la donne par rapport au VPN traditionnel qui ouvre un accès réseau large une fois le tunnel établi.
Déploiement VPN pour les collaborateurs distants : les choix qui comptent
Sur le terrain, le déploiement d’un VPN pour une équipe en télétravail pose trois questions concrètes qui déterminent le niveau réel de sécurité.
Appareil géré ou appareil personnel
Un VPN installé sur un appareil professionnel, avec un système d’exploitation durci et un antivirus centralisé, offre un niveau de contrôle élevé. Sur un appareil personnel, l’entreprise ne maîtrise ni les mises à jour, ni les applications tierces, ni la configuration réseau. Autoriser le BYOD sans contrôle de conformité du poste revient à ouvrir le tunnel vers un environnement non maîtrisé.
Split tunneling ou full tunneling
Le split tunneling route uniquement le trafic professionnel dans le VPN, le reste passant directement par la connexion Internet locale. C’est plus confortable pour l’utilisateur (streaming, navigation personnelle non ralentie) mais cela expose l’appareil à des menaces sur le trafic non protégé. Le full tunneling fait tout passer par le VPN, au prix d’une latence accrue et d’une charge plus importante sur la passerelle.
- Split tunneling : adapté quand l’appareil est géré et dispose d’un EDR (Endpoint Detection and Response) actif.
- Full tunneling : préférable sur les postes personnels ou dans les environnements à risque (Wi-Fi public, coworking).
- Certaines solutions permettent un split tunneling dynamique qui bascule automatiquement selon le réseau détecté.
VPN d’entreprise et conformité RGPD : un lien direct
Le RGPD impose de protéger les données personnelles par des mesures techniques appropriées, y compris lors des transferts. Quand un collaborateur accède à distance à une base de données contenant des informations clients, le chiffrement du canal de communication n’est pas optionnel. Le VPN répond directement à cette exigence en garantissant que les données en transit restent illisibles pour un tiers.
Cette obligation s’applique quel que soit le lieu de connexion du salarié : domicile, espace de coworking ou déplacement à l’étranger. Sans chiffrement du canal distant, l’entreprise s’expose à un manquement documentable en cas de contrôle.
Le VPN ne dispense pas d’une politique d’accès aux données bien définie, mais il constitue la brique de base sur laquelle cette politique peut s’appuyer techniquement. Les entreprises qui combinent VPN, segmentation réseau et contrôle d’identité renforcé se positionnent sur la trajectoire des architectures Zero Trust, sans rupture brutale avec leur infrastructure existante.