Comment configurer un VPN sur un Mac

Avant de commencer

Installer le client

1. Choisissez la version sur le site du fournisseur, et non dans le store, lorsque les deux existent. La version de l’App Store s’exécute dans le bac à sable d’Apple, qui interdit certaines fonctions auxquelles sert un client VPN : un kill switch actif avant la connexion, ou le split tunneling par application. Le téléchargement direct est généralement le client complet. Choisissez la version du store uniquement lorsqu’il s’agit de la seule proposée.
2. Connectez-vous d’abord au site du fournisseur et téléchargez le client depuis l’espace du compte, afin que le fichier exécuté provienne de la session qui a confirmé que vous disposez d’un abonnement.
3. Ouvrez l’installateur et autorisez l’extension lorsque macOS le demande. Le système indiquera que le client veut ajouter une extension réseau, ou une configuration VPN, et vous dirigera vers Réglages Système › Général › Ouverture et extensions. Autorisez-la. Un client dont l’extension n’est pas autorisée s’ouvre, permet la connexion, puis ne se connecte jamais.
4. Laissez l’élément en arrière-plan activé. La même page de réglages répertorie le client sous Autoriser en arrière-plan. Le désactiver pour nettoyer la liste est précisément ce qui empêche le tunnel de se reconnecter après une mise en veille.
5. Connectez-vous au client et donnez à l’appareil un nom qui ne permet pas de vous identifier ; ce nom est conservé par le fournisseur.
6. Ne vous connectez pas encore. Ouvrez d’abord les paramètres. Deux des trois paramètres ci-dessous sont désactivés par défaut dans la plupart des clients.

Les trois paramètres à vérifier

Les menus des clients diffèrent, mais pas les paramètres. Chacun des trois est défini dans le glossaire si son nom ne vous est pas familier.

Le kill switch

Il bloque tout le trafic si le tunnel tombe, au lieu de laisser discrètement la connexion revenir au réseau ordinaire. Il est généralement désactivé par défaut parce qu’il donne une impression de fiabilité moindre au produit — un tunnel interrompu devient une connexion coupée plutôt qu’une interruption passée inaperçue, ce qui est précisément son rôle. Activez-le. Si le client distingue un switch qui ne s’applique que lorsque vous êtes connecté d’un autre qui s’applique en permanence, choisissez le second : un Mac qui se réveille sur un Wi-Fi inhabituel passe plusieurs secondes sur le réseau sans protection avant que le client ne se reconnecte, et c’est cette lacune qui compte. Le rôle du switch est expliqué sur sa propre page.

Le DNS dans le tunnel

Les recherches de noms peuvent sortir du Mac sans passer par le tunnel, même lorsque tout le reste y passe, ce qui indique à votre réseau les sites que vous avez visités tout en ne masquant que ce que vous y avez fait. Cherchez protection contre les fuites DNS, utiliser le DNS du fournisseur ou un champ DNS personnalisé, puis définissez le résolveur propre au fournisseur plutôt que celui d’un tiers. Vous faites déjà confiance au fournisseur pour le trafic ; ajouter un tiers qui ne voit que les recherches augmente le nombre de parties sans réduire ce qu’aucune d’elles ne sait. Le fonctionnement d’une fuite est expliqué sur la page consacrée aux fuites DNS.

Le protocole

Laissez le protocole moderne par défaut, sauf si quelque chose ne fonctionne pas — la page des protocoles indique lesquels sont actuels et lesquels sont anciens. Si le client propose une option plus ancienne pour résoudre un problème de connexion, faites ce compromis en connaissance de cause, puis annulez-le : le registre signale le protocole le plus faible encore proposé par un fournisseur, et le sélectionner manuellement revient à choisir ce signalement pour vous-même.

Confirmer que tout fonctionne réellement

Connectez-vous, puis vérifiez au lieu de supposer. Trois vérifications, dans cet ordre, toutes gratuites et ne nécessitant aucun logiciel :

1. Votre adresse a changé. Ouvrez une page indiquant « quelle est mon adresse IP » et confirmez que le pays correspond à la sortie choisie. Si votre propre pays s’affiche alors que le client indique que vous êtes connecté, l’extension fonctionne, mais le trafic ne la traverse pas.
2. Les recherches passent par le tunnel. Lancez un test de fuite DNS et consultez les résolveurs qu’il signale. Si l’un d’eux appartient à votre fournisseur d’accès à Internet, le paramètre DNS ci-dessus n’a pas été pris en compte.
3. Le kill switch fait ce qu’il annonce. Avec un téléchargement en cours, ouvrez le Moniteur d’activité, trouvez le processus auxiliaire ou daemon du client — il porte le nom du fournisseur — et forcez sa fermeture, afin que le tunnel tombe sans que le client en reçoive la demande. Le transfert doit s’arrêter net. S’il continue, le switch est purement décoratif.

La série de tests plus complète, ainsi que ce que chacun peut ou ne peut pas montrer, fait l’objet de son propre guide.

Mise en veille, réveil et Wi-Fi inhabituel

Un ordinateur portable est l’appareil qui s’ouvre sur des réseaux qu’il n’a jamais vus, et un Mac accomplit la partie dangereuse — rejoindre le Wi-Fi, relever ses e-mails, se synchroniser — dans les premières secondes après l’ouverture du capot, avant qu’un client ait pu se reconnecter. Deux paramètres ferment cette fenêtre. La connexion automatique dans le client, afin que la reconnexion relève du client et non de vous ; et le kill switch toujours actif ci-dessus, afin que le Mac n’envoie rien jusqu’à la reconnexion. Avec les deux, un réseau de café voit un ordinateur qui s’est connecté, puis est resté silencieux jusqu’à l’établissement du tunnel. Ce qu’un tel réseau peut lire autrement est expliqué sur la page consacrée au Wi-Fi public.

Si un client propose une liste de réseaux de confiance sur lesquels il reste désactivé, gardez cette liste courte. Le réseau domestique peut y figurer parce que l’imprimante s’y trouve, pas parce que le fournisseur d’accès à Internet qui se trouve derrière lui serait aveugle.