Guide
Comment configurer un VPN sur un routeur
Quand le routeur est le bon endroit pour le tunnel et quand il ne l’est pas, le fichier de configuration du fournisseur sur la page VPN du micrologiciel, le DNS pour toute la maison et les vérifications depuis un appareil derrière lui. Rédigé pour un routeur dont le micrologiciel possède une page de client VPN ; ce guide ne reflashe rien.
Avant de commencer
Ce guide ne choisit pas à votre place
Chaque étape ci-dessous est identique quel que soit le fournisseur utilisé, raison pour laquelle aucun n’est nommé ici. Le choix est une tâche distincte qui se fait dans le registre, où il repose sur un score publié plutôt que sur une page de téléchargement.
Les fichiers de configuration viennent de l’espace de compte du fournisseur lui-même et de nulle part ailleurs. Un fichier provenant d’un forum contient la clé de quelqu’un d’autre, ou le serveur de quelqu’un d’autre.
Le routeur est le bon endroit pour le tunnel lorsque les appareils qui se trouvent derrière lui ne peuvent pas exécuter leur propre client — un téléviseur, une console, une enceinte connectée — ou lorsque l’objectif est de couvrir tous les appareils à la fois sans rien installer. C’est le mauvais endroit lorsque la maison doit parfois sortir du tunnel : derrière un routeur, aucun appareil ne le peut, et tous les appareils partagent une seule sortie, un seul pays et un seul processeur. Ce processeur limite la vitesse, et ses capacités sont nettement inférieures à celles d’un ordinateur portable. Si un ou deux appareils sont concernés, installez plutôt le client sur ceux-ci ; les pages consacrées aux plateformes indiquent quels fournisseurs prennent lesquels en charge.
Ce guide ne reflashe pas un routeur. Remplacer le micrologiciel par l’un des micrologiciels tiers courants donne au routeur un meilleur client VPN que la plupart des micrologiciels d’origine, mais c’est aussi la seule étape d’un guide de ce site qui puisse transformer le matériel en brique inutilisable. Si le micrologiciel de votre routeur possède une page de client VPN, les étapes ci-dessous suffisent. Dans le cas contraire, la décision de reflasher vous appartient et les instructions relèvent du projet du micrologiciel, pas de nous.
Charger la configuration
- Connectez-vous au site du fournisseur et ouvrez la section consacrée au routeur ou à la configuration manuelle dans l’espace de compte. Générez un fichier de configuration pour le protocole pris en charge par votre micrologiciel et pour la sortie souhaitée ; un fichier correspond à une sortie. Le fichier contient votre clé — traitez-la comme un mot de passe.
- Ouvrez la page d’administration du routeur depuis un appareil connecté au réseau filaire ou domestique, puis trouvez la page du client VPN. Son nom varie — VPN client, VPN Fusion, WAN › VPN — mais il s’agit d’une page de client, qui établit une connexion sortante, et non d’une page de serveur, qui permet de se connecter depuis l’extérieur. Les deux se ressemblent et une seule correspond à ce guide.
- Importez le fichier ou collez ses champs un par un là où le micrologiciel le demande. Donnez au profil le nom de la sortie afin de pouvoir distinguer le suivant.
- Choisissez les appareils qui passent par le tunnel si la page le permet, et sélectionnez-les tous pour l’instant ; la liste d’exclusion pourra être affinée plus tard. Activez ensuite le profil.
- Ne vous arrêtez pas là. Le DNS et le kill switch se trouvent sur la même page ou sur la suivante, et ils sont tous deux désactivés par défaut.
Les paramètres à vérifier
Les pages des micrologiciels diffèrent, mais pas les paramètres. Chacun possède une entrée dans le glossaire si son nom ne vous est pas familier.
Le DNS pour toute la maison
Chaque appareil derrière le routeur demande au routeur où se trouvent les choses, et le routeur demande à la personne ou au service que l’on lui a indiqué. S’il s’agit du résolveur du fournisseur d’accès à Internet, chaque requête de la maison sort du tunnel, ce qui lui indique les sites visités par la maison et ne masque que ce qui y a été fait. Configurez le DNS du routeur — sur la page du client VPN lorsqu’elle comporte un champ prévu à cet effet, sinon sur la page WAN — avec le résolveur indiqué par le fichier du fournisseur, et configurez le routeur pour transmettre sa propre adresse aux appareils comme résolveur, afin qu’aucun appareil ne reçoive celle du fournisseur d’accès à Internet. La page consacrée aux fuites DNS explique comment une fuite se produit.
Le kill switch
Sur un routeur, il s’agit d’une règle de pare-feu : lorsque le tunnel est interrompu, rien provenant des appareils qui l’utilisent ne doit sortir par la route ordinaire. Certains micrologiciels proposent ce commutateur sous forme de case à cocher, certains l’appellent block routed clients if tunnel goes down, et certains ne l’ont pas du tout. Lorsqu’il existe, activez-le ; une interruption du tunnel met alors la maison hors ligne jusqu’à la reconnexion, ce qui est précisément son rôle. Lorsqu’il n’existe pas, sachez qu’une interruption du tunnel rend chaque appareil à la connexion nue sans avertissement. La page consacrée au kill switch explique son rôle.
IPv6
La plupart des tunnels de routeur ne transportent que l’IPv4. Si le fournisseur d’accès à Internet fournit aussi l’IPv6 à la maison, les appareils l’utiliseront pour tout site qui le propose, et ce trafic contournera le tunnel. À moins que le fichier du fournisseur ne configure l’IPv6 à l’intérieur du tunnel, désactivez l’IPv6 côté WAN pendant l’utilisation du tunnel.
Le protocole
Choisissez le protocole moderne lorsque le micrologiciel le propose — la page consacrée aux protocoles indique lesquels sont actuels et lesquels sont obsolètes — à la fois pour la raison prise en compte par le score du registre et parce que, sur le processeur d’un routeur, il est plusieurs fois plus rapide que l’ancien. Un vieux routeur qui ne propose que le protocole obsolète sera lent en plus d’être mal classé.
Confirmer que tout fonctionne réellement
Effectuez les vérifications depuis un appareil derrière le routeur, et non depuis sa propre page d’état, qui indique seulement ce que le routeur croit. Trois vérifications, dans cet ordre :
- L’adresse a changé, sur un appareil qui n’a pas son propre client. Ouvrez une page « quelle est mon adresse IP » sur un ordinateur portable ou un téléphone connecté au Wi-Fi du routeur, avec les données mobiles désactivées et aucune application VPN en cours d’exécution. Le pays doit être celui de la sortie choisie.
- Les requêtes passent à l’intérieur du tunnel. Lancez un test de fuite DNS depuis le même appareil. Toute donnée appartenant à votre fournisseur d’accès à Internet signifie que le réglage DNS ci-dessus n’a pas été appliqué ou qu’un appareil a reçu le mauvais résolveur.
- Le kill switch fait ce qu’il annonce. Pendant qu’un téléchargement est en cours sur cet appareil, désactivez le profil VPN sur la page du routeur ou débranchez momentanément le câble WAN du routeur, puis rebranchez-le. Pendant l’interruption, le téléchargement doit s’arrêter net et, lorsque la connexion revient, il ne doit pas reprendre avant le rétablissement du tunnel. S’il continue, le commutateur est absent ou désactivé.
La série de tests plus complète, ainsi que ce que chacun peut ou ne peut pas montrer, se trouve dans son propre guide.
Ce que ces vérifications prouvent
+Chaque appareil de ce réseau sort par le serveur de sortie, dans le pays que vous avez sélectionné, sans rien y installer
+Le fournisseur d’accès à Internet voit une seule connexion chiffrée depuis la maison et aucune requête
+Une interruption du tunnel échoue en mode fermé pour toute la maison, lorsque le micrologiciel possède le commutateur
Ce qu’elles ne prouvent pas
−Elles ne disent rien de ce que conserve le fournisseur — c’est une question de documents, à laquelle répondent les pages consacrées à la conservation
−Elles ne rendent personne anonyme : chaque compte sur chaque appareil est toujours connecté ; consultez ce qu’un VPN ne protège pas
−Un test réussi sur un appareil ne dit rien d’un appareil situé sur un autre réseau, ni d’un appareil doté de sa propre application
Une maison, deux réseaux
La critique formulée à propos d’un tunnel sur routeur est toujours la même : quelque chose doit rester à l’extérieur. La solution propre consiste à utiliser deux réseaux plutôt qu’un seul avec des exceptions. Soit un second routeur derrière le premier, qui exécute le tunnel, avec les appareils qui doivent y être inclus connectés à son Wi-Fi et tous les autres au Wi-Fi du premier ; soit, lorsque le micrologiciel permet d’utiliser un VPN par réseau, un réseau invité ou secondaire qui est celui du tunnel. Un appareil choisit alors le réseau auquel il se connecte : le téléviseur reste à l’intérieur, la console reste à l’extérieur, et personne ne désactive le tunnel pour toute la maison.
Le second routeur répond également à la question de la vitesse : il ne prend en charge que les appareils qui ont besoin du tunnel, son processeur ne limite donc que ceux-ci.
Quand cela ne fonctionne pas
Tout est devenu plus lent dans la maison
Le routeur chiffre maintenant chaque octet envoyé par la maison, sur un processeur conçu pour transférer des paquets plutôt que pour les chiffrer. Cette limite vient du routeur, pas du fournisseur, et elle est atteinte bien avant le débit qu’un ordinateur portable permet avec le même abonnement.
Le protocole moderne est beaucoup plus léger que l’ancien : utilisez-le lorsque le micrologiciel le propose. Au-delà, la solution consiste à utiliser un routeur plus rapide ou à faire passer moins d’appareils par le tunnel — consultez la dernière section.
Un appareil doit rester à l’extérieur du tunnel
Une application bancaire qui refuse une adresse étrangère, une console de jeux, une enceinte connectée : il y a toujours un appareil concerné. Certains micrologiciels permettent d’exclure un appareil par son adresse, ce qui constitue du split tunneling sur le routeur. Lorsque le micrologiciel ne le permet pas, la solution se trouve dans la dernière section : un second réseau pour le tunnel, afin que l’appareil se connecte simplement à l’autre.
Ne désactivez pas le tunnel pour toute la maison afin de servir un seul appareil.
Le tunnel s’interrompt et rien ne se reconnecte
La plupart des micrologiciels se reconnectent automatiquement ; certains ne le font que si on le leur demande. Cherchez sur la page du client VPN un réglage de maintien de la connexion, de reconnexion automatique ou de watchdog, puis activez-le. Si le micrologiciel possède un kill switch et qu’il est activé, une interruption du tunnel met la maison hors ligne jusqu’à la reconnexion — c’est le signe que le commutateur fonctionne.
Mêmes étapes, autres appareils
Le reste des plateformes
Chaque plateforme a son propre guide plutôt qu'un onglet sur celui-ci. Les étapes divergent dès que l'installateur s'ouvre, et une page qui répond à trois plateformes à la fois ne répond correctement à aucune d'elles.