Peut-on convertir une configuration WireGuard en OpenVPN ?

Vous avez un wg0.conf et un client qui n’accepte que .ovpn, alors quelqu’un propose de convertir le fichier. Le renommer produit un profil que OpenVPN ne peut pas analyser, et une traduction soignée champ par champ en produit un qui s’analyse puis échoue à la poignée de main. La raison n’est pas le format du fichier. WireGuard et OpenVPN sont des protocoles différents, avec des poignées de main différentes, des modèles d’authentification différents et des idées différentes de ce qu’est un peer. La conversion ne fonctionne qu’au sens où vous pouvez obtenir un profil OpenVPN auprès de celui qui administre l’autre extrémité.

Le fichier que vous avez décrit un peer, pas un profil de connexion

Une configuration WireGuard est courte parce que le protocole l’est : une interface avec une clé privée et des adresses, puis un ou plusieurs peers avec une clé publique, un endpoint et une liste AllowedIPs. Il n’y a pas de couche de négociation à configurer ni de suite de chiffrement à choisir.

Un profil OpenVPN est un client pour un canal de contrôle basé sur TLS, c’est pourquoi il contient des références à des certificats ou des identifiants et des directives décrivant comment s’authentifier.

Pourquoi un fichier traduit échoue quand même à la poignée de main

WireGuard commence par une poignée de main basée sur Noise, chiffrée avec les clés statiques des peers, et reste silencieux tant que la clé publique du peer n’est pas déjà connue. OpenVPN ouvre une session TLS, vérifie un certificat de serveur ou une clé statique, puis authentifie l’utilisateur avec des certificats, un nom d’utilisateur et un mot de passe, ou les deux. Rien dans un fichier WireGuard ne décrit cela. Un fichier traduit porterait le bon endpoint et tout le reste de travers.

Réutiliser l’adresse et le port n’aide pas non plus, parce que l’autre extrémité attend un paquet différent.

Ce qu’il faut demander au fournisseur

Si un fournisseur a fourni le fichier WireGuard, demandez si le même compte a accès à OpenVPN et réclamez ce profil. Beaucoup l’ont, et il arrive avec ses propres identifiants, et non comme une copie modifiée du premier.

Si la réponse est non, la contrainte tient à l’abonnement et non au fichier, et aucun convertisseur n’y change rien.

Si le routeur ou le client ne parle qu’OpenVPN

Quand l’appareil qui doit se connecter ne prend en charge qu’OpenVPN, vérifiez la prise en charge documentée des protocoles côté extrémité avant de chercher une autre extension. Un routeur qui termine OpenVPN ne se laisse pas convaincre d’accepter WireGuard en important un fichier. Les options praticables sont un endpoint OpenVPN côté serveur, ou un autre appareil qui parle WireGuard.

Choisissez selon qui administre l’autre extrémité, pas selon le fichier que vous avez par hasard.

Si vous exploitez le serveur, ajoutez le protocole

Prendre en charge un second protocole signifie exploiter un second service. Sur un serveur Linux, c’est une instance OpenVPN avec sa propre CA, son certificat de serveur, ses certificats clients et les directives server et push, plus une règle de pare-feu pour son port. L’entrée de peer existante dans WireGuard ne décrit aucun de ces objets. Planifiez le pool d’adresses et les routes poussées séparément des AllowedIPs de WireGuard, car ce n’est pas le même mécanisme sous deux noms.

Vérifiez ensuite depuis le client : le profil se charge, la session TLS aboutit, la route poussée apparaît et le trafic atteint un hôte joignable uniquement par le tunnel.

Où l’idée de convertisseur est sans danger

Traduire des valeurs à la main dans des notes est correct et souvent utile, car l’endpoint, les adresses et la clé publique du peer ne sont que des faits du déploiement. Téléverser une clé privée sur un site qui promet une conversion ne l’est pas, puisque cette clé est l’identifiant et que le service n’a aucun protocole vers lequel la convertir. Si vous avez besoin du même accès depuis un client OpenVPN, demandez plutôt un identifiant OpenVPN.

Gardez les deux configurations côte à côte et traitez-les comme des voies d’accès distinctes, car c’est ce qu’elles sont.