Guide
Comment configurer le split tunneling
Comment envoyer certaines applications ou adresses en dehors du tunnel tout en gardant tout le reste à l'intérieur, ce que coûte chaque exception et la vérification qui prouve que le split est bien celui demandé. Rédigé pour les clients de fin 2026 et Android 17.
Ce que cette page établit
Le split tunneling envoie un ensemble choisi d'applications ou d'adresses en dehors du tunnel et laisse tout le reste à l'intérieur. Chaque élément de la liste correspond à un trafic que le VPN ne prend plus en charge, entièrement, sur le réseau ordinaire. Correctement configuré, il permet d'utiliser l'imprimante et l'application bancaire sans rien modifier d'autre ; configuré sans précision, c'est une fuite que vous avez vous-même configurée. Les étapes ci-dessous présentent la version la plus ciblée.
Deux types de règle
Par application
La règle désigne un programme, dont les connexions contournent alors le tunnel. Les clients Windows, macOS et Android le proposent ; depuis Android 17, un client peut transmettre la liste à un écran géré par le système, de sorte que les exclusions sont appliquées par le système d'exploitation plutôt que par le client — un client qui ouvre cet écran depuis ses propres paramètres l'utilise. iOS ne propose pas de split par application aux clients ordinaires ; l'option la plus proche est le bouton d'accès au réseau local ci-dessous.
Par adresse ou sous-réseau
La règle désigne une destination, et le trafic qui lui est destiné contourne le tunnel, quelle que soit l'application. Elle est plus grossière et plus difficile à interpréter après coup, car une règle d'adresse couvre tout ce qui répondra à cette adresse demain. C'est le bon outil pour un appareil sur votre propre réseau et le mauvais pour un service sur internet.
Ce qui sort du tunnel
- Un appareil sur votre propre réseau — une imprimante, un NAS, un serveur multimédia — que le routage du tunnel vous dissimule. Essayez d'abord le bouton d'accès au réseau local ; c'est le réglage le plus limité et il couvre la plupart de ces appareils sans règle.
- Une application qui refuse les connexions depuis les adresses de la sortie, généralement une application bancaire. La règle permet à cette seule application de voir votre adresse réelle, et à aucune autre. La banque sait alors où vous vous trouvez : c'est le compromis.
- Rien d'autre par défaut. Chaque entrée correspond à une application dont le réseau auquel vous êtes connecté peut lire le trafic. Une longue liste revient à utiliser un VPN qui protège le navigateur et guère plus.
Une exception concerne une application qui ne fonctionne pas à travers le tunnel. Elle ne permet pas d'accéder à un service qui a décidé de ne pas desservir le pays de la sortie ; c'est la décision du service, et le contournement de cette décision ne relève pas de cette page.
Configurer la règle
- Ouvrez la section de split tunneling du client, souvent située dans les paramètres de connexion ou les paramètres avancés. Sous Android 17 et les versions ultérieures, le client peut ouvrir un écran géré par le système pour cette même liste ; dans tous les cas, il n'y a qu'une seule liste, et c'est la section du client qui y mène.
- Vérifiez le mode avant d'ajouter quoi que ce soit. La plupart des clients en proposent deux : les applications listées contournent le tunnel, ou seules les applications listées l'utilisent. Le second est le split tunneling inverse et, avec une liste vide, signifie que rien ne passe dans le tunnel. Vérifiez que le mode correspond bien à votre intention.
- Ajoutez l'application, pas son dossier, ainsi que l'exécutable qui établit la connexion. Une suite composée de plusieurs processus peut nécessiter l'ajout de chacun d'eux ; ajouter le dossier d'installation ajoute aussi son programme de mise à jour.
- Quittez complètement l'application et reconnectez le client. Les règles s'appliquent aux nouvelles connexions. Une application restée ouverte conserve son ancien chemin et donne une lecture fausse lors de la vérification.
Mode inverse
En mode inverse, seules les applications listées utilisent le tunnel et tout le reste le contourne. C'est la configuration adaptée lorsqu'une application a besoin du tunnel et que le reste de la machine doit se comporter comme si aucun client n'était installé, mais c'est la mauvaise configuration dans tous les autres cas, car chaque application oubliée dans la liste se retrouve sur le réseau ouvert. Si vous l'utilisez, le kill switch ne couvre que les applications listées sur la plupart des clients ; les autres n'étaient de toute façon jamais à l'intérieur du tunnel.
Accès au réseau local
La plupart des clients disposent d'un seul bouton qui laisse passer les adresses de votre propre réseau tout en gardant tout le reste dans le tunnel. Il s'agit d'un split tunneling par sous-réseau, sélectionné pour vous, qui couvre l'imprimante et le NAS sans règle. Sur un réseau que vous gérez vous-même, il présente peu de risques ; sur un réseau public, il permet à chaque appareil de ce réseau d'atteindre le vôtre. C'est pourquoi il est désactivé par défaut et mérite d'être désactivé à nouveau avant votre départ.
Vérifier que le split est bien celui demandé
- Dans l'application exclue, trouvez sa propre vérification d'adresse — les détails de session d'une application bancaire, le panneau d'adresse d'un client torrent, ou toute page ouverte dans un navigateur exclu — et attendez-vous à voir votre propre adresse et votre propre pays.
- Dans une application que vous n'avez pas exclue, exécutez la vérification d'adresse et attendez-vous à voir celle de la sortie. Faites-le dans un navigateur que vous n'avez pas ajouté à la liste, ainsi que dans une autre application si vous en avez une qui affiche son adresse.
- Exécutez une fois la batterie complète de vérifications depuis comment vérifier que votre VPN fonctionne, avec les règles en place. Une règle qui couvre davantage que prévu apparaîtra alors comme une fuite dans un élément que vous pensiez garder à l'intérieur.
Ce que ces vérifications prouvent
+Les applications que vous avez listées, et elles seules, sont sur le réseau ordinaire
+Tout le reste sort toujours par la sortie, y compris les résolutions
+Le mode est celui que vous aviez prévu, et non son inverse
Ce qu'elles ne prouvent pas
−Elles ne disent rien de ce que le fournisseur conserve du trafic qui se trouve à l'intérieur — la réponse figure sur les pages consacrées à la conservation
−Un test de fuite ne peut pas détecter une exception délibérée ; l'application exclue est vérifiée depuis l'intérieur d'elle-même, ou pas du tout
−Un ensemble de règles configuré aujourd'hui suit l'application au fil de ses mises à jour, et une application mise à jour peut ouvrir des connexions depuis un processus que vous n'avez pas listé
Quand le split ne tient pas
L'application exclue affiche toujours l'adresse de la sortie
La règle ne s'est pas appliquée, et la raison habituelle est que l'application était déjà en cours d'exécution. Le split tunneling s'applique aux connexions établies après la configuration de la règle ; quittez complètement l'application, reconnectez le client et ouvrez-la à nouveau. Sous Android, vérifiez si la règle se trouve dans le client ou dans les paramètres du système, car une application exclue dans l'un mais pas dans l'autre suit ce que le système d'exploitation applique.
Un navigateur est le cas le plus difficile : ses processus en arrière-plan maintiennent les connexions ouvertes après la fermeture d'une fenêtre. Il faut donc le quitter depuis son propre menu, et non depuis la fenêtre.
Une application que je n'ai pas exclue affiche ma propre adresse
Une règle plus large qu'une règle par application est active. Une règle par adresse ou par sous-réseau qui couvre par hasard la destination, un mode inverse activé par erreur de sorte que seules les applications listées passent dans le tunnel, ou un bouton d'accès au réseau local activé sur un réseau qui distribue des adresses publiques peuvent chacun produire ce résultat. Lisez toutes les règles, pas seulement la liste des applications, et désactivez toute la fonctionnalité pour confirmer que l'adresse revient à celle de la sortie ; réactivez ensuite les règles une par une.
L'imprimante ou le NAS reste inaccessible
L'accès au réseau local est un réglage plus limité que le split tunneling et parfois un réglage distinct : il autorise les adresses de votre propre réseau tout en acheminant tout le reste. Si le client le propose, activez-le avant d'ajouter manuellement une règle de sous-réseau. Si l'appareil est atteint par son nom plutôt que par son adresse, ce nom est peut-être résolu via le DNS du tunnel, qui ne peut pas voir votre réseau ; utilisez plutôt l'adresse.
Un test de fuite réussit alors que j'ai exclu une application
Le test a été exécuté dans le navigateur, et le navigateur se trouve dans le tunnel. Une exception délibérée est invisible pour un test de fuite, par conception : le trafic de l'application exclue passe entièrement sur le réseau ordinaire, et aucune page que vous ouvrez ailleurs ne le signalera. Pour vérifier une exception, utilisez l'adresse affichée par l'application exclue elle-même, comme l'explique la dernière section, et non celle de la page de test.
Mêmes étapes, autres appareils
Le reste des plateformes
Chaque plateforme a son propre guide plutôt qu'un onglet sur celui-ci. Les étapes divergent dès que l'installateur s'ouvre, et une page qui répond à trois plateformes à la fois ne répond correctement à aucune d'elles.