Client VPN sur le routeur ou mode serveur : ce que chacun permet

Vous vous connectez au routeur, ouvrez la page VPN et trouvez deux onglets qui ressemblent à la même fonction décrite deux fois : l’un veut un fichier de profil venu d’ailleurs, l’autre veut que vous génériez des certificats et choisissiez un port. Ce ne sont pas deux vues d’un même réglage. Un rôle fait que le routeur appelle vers l’extérieur, l’autre le fait répondre, et un seul appareil peut faire les deux sans que l’un aide l’autre. Voici comment lire le menu et décider de quel côté vous êtes avant d’activer quoi que ce soit.

Ouvrez le menu VPN et lisez le nom des rôles

Commencez par les titres de section plutôt que par les interrupteurs. Un onglet intitulé client ou « se connecter à un service VPN » attend un profil importé, un fichier de configuration ou un jeu d’identifiants délivrés par quelqu’un d’autre. Un onglet intitulé serveur attend que vous créiez les identités, choisissiez un protocole et un port et, en général, exportiez un profil pour chaque appareil qui se connectera.

Considérez l’argument marketing de la boîte comme non vérifié tant que le menu ne le confirme pas. « Compatible VPN » peut désigner un client, un serveur, un auxiliaire de traversée de protocole qui ne fait que transmettre des paquets à un appareil derrière le routeur, ou une application d’accès distant propriétaire sans aucun profil standard. Seule la documentation du micrologiciel distingue ces cas, et le numéro de modèle sur l’étiquette ne le fait pas.

Mode client : votre réseau local sort par la sortie de quelqu’un d’autre

En mode client, le routeur se comporte comme un ordinateur portable exécutant une application VPN. Il lui faut un protocole compatible, un profil ou des identifiants de l’opérateur distant, et une décision de routage sur les appareils en aval qui utilisent le tunnel. Beaucoup de micrologiciels proposent une liste de règles où vous nommez les adresses sources ou les interfaces à envoyer dans le tunnel et laissez le reste sur la connexion normale.

La partie qui échoue en silence, c’est le côté distant. Le point de terminaison auquel vous vous connectez doit acheminer le trafic internet à votre place et fournir un chemin de retour, ce qui est une politique chez le fournisseur, pas un réglage sur votre routeur. Un menu qui n’offre que le mode serveur ne peut pas construire ce service sortant, quelle que soit sa configuration, et un fournisseur qui ne prend en charge que les liaisons site à site peut établir le tunnel avec succès tout en rejetant tout ce que vous y envoyez.

Vérifiez ensuite comment le tunnel gère le DNS. Si le profil pousse un résolveur, le routeur devrait le transmettre aux clients en aval ; sinon, les clients continuent d’utiliser le résolveur du fournisseur d’accès et résolvent les noms hors du tunnel alors que les paquets passent à l’intérieur. Une vérification rapide depuis un ordinateur portable connecté : l’adresse que vous voyez sur une page d’écho d’IP devrait être la sortie, et l’adresse de résolveur utilisée devrait être celle fournie par le tunnel.

Mode serveur : quelqu’un d’autre arrive dans votre réseau local

Le mode serveur inverse la direction. Le routeur écoute, l’appareil en déplacement se connecte, puis le routeur décide quelles ressources de la maison cette connexion peut atteindre. C’est le rôle que vous voulez pour un NAS, une machine de laboratoire ou une imprimante, et il a une condition préalable que le rôle client n’a pas : quelque chose de l’extérieur doit pouvoir atteindre l’écouteur.

C’est sur cette condition préalable que la plupart des installations domestiques calent. Si le routeur se trouve derrière la passerelle de votre fournisseur d’accès, le port VPN doit être redirigé depuis cette passerelle, ou le routeur doit être mis en mode pont ou DMZ. Derrière un NAT d’opérateur, il n’y a aucun port entrant à rediriger, donc la conception doit changer : un tunnel sortant du routeur vers un relais, un point de terminaison hébergé ou un produit maillé. Un serveur injoignable n’est pas mal configuré, il est inatteignable.

Les identités diffèrent aussi selon le rôle. Un profil client domestique qui envoie tout vers une sortie payante est un seul secret partagé, alors qu’un serveur qui admet trois téléphones et un ordinateur portable a besoin de quatre identités que vous pouvez révoquer séparément. Les certificats et les clés sont propres à chaque appareil, et la page d’export du routeur devrait vous donner un fichier par appareil plutôt qu’un fichier pour tout le foyer.

Vérifiez l’implémentation exacte avant de vous engager

La documentation de Netgate sur le choix d’un rôle VPN sépare les rôles de cette façon, et il vaut la peine de lire la page équivalente pour votre micrologiciel plutôt que de la déduire des noms d’onglets. Cherchez trois faits concrets : quels protocoles le client sait parler, si le serveur prend en charge le protocole utilisé par vos appareils, et si la politique de routage couvre les adresses sources, des interfaces entières ou rien du tout.

Regardez ensuite la limite de prise en charge. Un routeur grand public doté d’un onglet client mais sans liste de règles enverra tous les appareils dans le tunnel, ce qui convient à un boîtier de streaming et ne convient pas à un ordinateur portable professionnel qui a besoin du tunnel du bureau. Un routeur avec un onglet serveur mais un seul profil partagé est un outil de laboratoire raisonnable et un mauvais choix pour une famille, car révoquer un appareil signifie modifier la configuration de tout le monde.

Choisissez le rôle selon l’endroit où le trafic commence

Parcourez la ligne choisie de bout en bout avant de changer autre chose. Activez le rôle, connectez un client, confirmez l’adresse sous laquelle il apparaît, confirmez quel résolveur il utilise et confirmez le chemin de retour dans le sens inverse. Si le routeur possède aussi une page de pare-feu, vérifiez que la nouvelle interface n’est pas bloquée par une règle par défaut écrite à l’époque où le tunnel n’existait pas.

Lorsque les deux rôles sont disponibles et que le besoin est réellement les deux, exploitez-les comme des fonctions distinctes avec une documentation distincte. Un routeur peut appeler vers l’extérieur pour la télévision et accepter en même temps une connexion de téléphone vers le NAS, mais les deux politiques ne doivent pas partager un sous-réseau, un réglage DNS ou une zone de pare-feu, sinon le premier changement que vous ferez pour l’une cassera l’autre.