Veille technologique · B6 · WireGuard · IPSec · OpenVPN

VPN & Accès distant sécurisé

Étude des protocoles VPN modernes, comparaison WireGuard / OpenVPN / IPSec, et évolutions vers le Zero Trust Network Access (ZTNA) dans les infrastructures d'entreprise.

1. Contexte et lien avec le stage

Chez Paul Hartmann SAS, j'ai déployé un serveur VPN WireGuard via Docker, administré avec l'interface WGDashboard. Ce VPN permet aux utilisateurs autorisés d'accéder aux ressources de l'infrastructure depuis l'extérieur de manière sécurisée, via un tunnel chiffré.

WireGuard a été choisi pour sa légèreté, sa simplicité de configuration et ses performances supérieures aux solutions traditionnelles comme OpenVPN ou IPSec.

2. Comparaison des protocoles VPN

Critère	WireGuard	OpenVPN	IPSec
Code source	~4 000 lignes	~70 000 lignes	Très complexe
Performance	Excellente	Bonne	Bonne
Configuration	Simple	Modérée	Complexe
Chiffrement	ChaCha20, Curve25519	AES, RSA	AES, 3DES
Noyau Linux	Intégré (5.6+)	User space	Noyau
Cas d'usage	Site-to-site, remote	Remote access	Site-to-site

3. Fonctionnement de WireGuard

WireGuard utilise le modèle clé publique / clé privée (similaire à SSH). Chaque pair dispose d'une paire de clés générée localement. La clé publique est échangée et configurée sur le serveur.

Protocole UDP — plus rapide que TCP (OpenVPN)
Chiffrement moderne : ChaCha20 (données), Poly1305 (authentification), Curve25519 (échange de clés)
Roaming natif — le tunnel reste actif lors d'un changement de réseau (Wi-Fi → 4G)
Pas de certificats complexes — configuration en quelques lignes

Chez Hartmann, la règle pfSense n°8 autorisait les clients VPN à accéder au LAN sur des ports spécifiques, limitant la surface d'attaque même pour les connexions distantes.

4. Évolutions — ZTNA (Zero Trust Network Access)

Le VPN traditionnel accorde un accès large au réseau interne une fois connecté. Le ZTNA est plus granulaire : chaque application est protégée individuellement, l'accès est accordé selon l'identité, l'appareil et le contexte.

ZTNA : accès applicatif, jamais réseau complet
SDP (Software Defined Perimeter) : infrastructure invisible depuis Internet
SSO + MFA : authentification forte systématique
Solutions : Cloudflare Access, Tailscale (basé WireGuard), Zscaler

Tailscale, solution ZTNA basée sur WireGuard, automatise la gestion des clés et crée un réseau mesh sécurisé — évolution naturelle de ce que j'ai déployé manuellement chez Hartmann.

5. Sources

Documentation officielle WireGuard (wireguard.com) WGDashboard GitHub Cloudflare — What is ZTNA ANSSI — Recommandations VPN IPSec Tailscale Blog Linux Kernel Documentation