Comment installer un VPN sur mon routeur ?

Installer le VPN sur le routeur protège d’un coup tout ce qui se connecte chez vous, y compris les appareils qui n’acceptent aucune application. Encore faut-il un routeur capable de le faire, et savoir ce qu’on y perd.

Si vous cherchez à comprendre ce qu’est un VPN avant de vous lancer, commencez par là. Cette page suppose que vous savez à quoi sert un VPN et que vous voulez l’étendre à toute la maison : ordinateurs, téléphones, téléviseurs, consoles, enceintes connectées.

Pourquoi passer par le routeur

Le routeur est le point par lequel tout le trafic de la maison sort vers Internet. Si c’est lui qui établit la connexion VPN, chaque appareil qui s’y connecte passe automatiquement par le tunnel, sans rien installer.

C’est la seule solution pour les appareils qui n’acceptent aucune application VPN : la plupart des téléviseurs connectés, les consoles de jeu, certains boîtiers multimédias. C’est aussi un moyen de ne pas dépasser la limite d’appareils de votre abonnement : pour le service VPN, le routeur ne compte que pour un.

Votre box est-elle compatible ?

Les box fournies par les opérateurs français permettent rarement de se connecter à un VPN commercial en tant que client. Certaines proposent un serveur VPN, pour accéder à votre réseau domestique depuis l’extérieur, ce qui est une autre fonction. Consultez l’interface de votre box ou la documentation de l’opérateur avant de conclure.

La solution la plus courante consiste à ajouter un second routeur derrière la box. La box continue d’assurer la connexion à Internet, et le routeur VPN crée un réseau Wi-Fi protégé auquel vous connectez les appareils de votre choix.

Les routeurs qui gèrent un VPN

Trois cas se présentent :

• Les routeurs avec client VPN intégré : de nombreux modèles récents grand public proposent dans leur interface un client WireGuard ou OpenVPN. Il suffit d’importer le fichier de configuration fourni par votre service.
• Les routeurs compatibles OpenWrt : OpenWrt est un système libre, qui remplace le logiciel d’origine sur une large gamme de modèles et apporte un client VPN complet. Son site tient la liste des appareils compatibles.
• Les routeurs vendus préconfigurés par certains services VPN, plus chers, mais prêts à l’emploi.

On rencontre encore des tutoriels pour DD-WRT ou Tomato. Ces systèmes ont rendu de grands services, mais OpenWrt est aujourd’hui le plus actif et le mieux maintenu pour les modèles récents.

La puissance du processeur, une limite réelle

Chiffrer tout le trafic de la maison demande du calcul. Sur un routeur d’entrée de gamme, le processeur devient le goulot d’étranglement : votre connexion fibre peut tomber à une fraction de son débit une fois le VPN activé.

Le protocole compte beaucoup ici. WireGuard est nettement plus léger qu’OpenVPN et donne de bien meilleurs débits sur le même routeur. Avant d’acheter, cherchez les débits VPN mesurés pour le modèle visé, en précisant le protocole. Les différences entre protocoles sont expliquées dans notre page sur les protocoles VPN.

Les étapes de l’installation

La procédure varie selon le routeur, mais suit presque toujours la même logique :

1. Vérifiez que votre routeur propose un client VPN, ou qu’il est compatible OpenWrt.
2. Dans l’espace client de votre service VPN, générez un fichier de configuration pour routeur, en WireGuard de préférence, en choisissant le pays du serveur.
3. Connectez-vous à l’interface d’administration du routeur, généralement depuis un navigateur.
4. Dans la section VPN, créez un client et importez le fichier.
5. Activez l’option qui bloque le trafic si le tunnel tombe, l’équivalent du kill switch.
6. Vérifiez les serveurs DNS : ils doivent être ceux du VPN, pas ceux de votre fournisseur d’accès.
7. Depuis un appareil connecté au routeur, vérifiez votre adresse IP et faites un test de fuites.

Choisir quels appareils passent par le VPN

Tout faire passer par le VPN n’est pas toujours souhaitable. Certains services bancaires, plateformes de vidéo ou jeux en ligne réagissent mal à une adresse VPN. Plusieurs solutions existent : créer deux réseaux Wi-Fi, l’un protégé et l’autre non, ou utiliser le routage sélectif que proposent certains routeurs, qui permet de choisir appareil par appareil ce qui passe par le tunnel.

Les limites à connaître

• Un seul pays à la fois pour tous les appareils, sauf configuration avancée.
• Un débit limité par le processeur du routeur.
• Moins de souplesse qu’une application : changer de serveur demande de passer par l’interface du routeur.
• Une protection limitée à la maison : dès que votre téléphone sort, il n’est plus protégé, et une application reste nécessaire, comme l’explique notre page sur le VPN sur smartphone.

Le double NAT et les autres effets de bord

Ajouter un routeur derrière la box crée souvent ce qu’on appelle un double NAT : deux appareils successifs traduisent les adresses de votre réseau. Pour la navigation, cela ne change rien. Pour les consoles de jeu, les appels vidéo ou certaines applications de partage, cela peut compliquer les connexions directes. Mettre la box en mode « bridge », quand elle le permet, ou placer le routeur dans sa zone dédiée résout en général le problème.

Autre effet à connaître : avec un VPN sur le routeur, les services de votre opérateur, comme la télévision par la box, peuvent ne plus fonctionner s’ils passent par le tunnel. Laissez le décodeur TV de l’opérateur branché directement sur la box.

Sécuriser le routeur lui-même

Un routeur VPN devient un point central de votre réseau. Quelques précautions s’imposent :

• changez le mot de passe d’administration d’origine ;
• désactivez l’accès à l’interface depuis Internet si vous n’en avez pas besoin ;
• installez les mises à jour du fabricant, ou d’OpenWrt, dès leur publication ;
• conservez le fichier de configuration du VPN dans un endroit sûr, car il contient une clé qui donne accès à votre compte.

Faut-il acheter un routeur exprès ?

Si votre routeur actuel n’a pas de client VPN et n’est pas compatible OpenWrt, l’achat d’un routeur dédié peut se justifier, notamment pour protéger des téléviseurs ou des consoles. Les petits routeurs de voyage, vendus quelques dizaines d’euros avec un client WireGuard intégré, suffisent pour un appartement et une connexion modeste. Pour une connexion fibre rapide, il faut viser un modèle avec un processeur plus puissant, sans quoi le VPN bridera votre débit.

Avant d’acheter, posez-vous la question inverse : combien d’appareils de la maison n’acceptent vraiment aucune application ? S’il n’y en a qu’un ou deux, un boîtier multimédia compatible peut coûter moins cher qu’un routeur.

Pensez aussi à l’emplacement : un routeur VPN placé derrière la box doit couvrir en Wi-Fi les pièces où se trouvent les appareils à protéger, sinon il faudra le relier par câble ou ajouter un répéteur.

Routeur ou application : que choisir ?

Si vos appareils acceptent tous une application, c’est la solution la plus simple et la plus souple. Le routeur devient intéressant quand vous avez des appareils qui n’en acceptent pas, comme beaucoup de téléviseurs, sujet détaillé dans notre page sur le VPN sur une smart TV, ou quand vous voulez protéger toute la maison sans y penser. Beaucoup d’utilisateurs combinent les deux : le routeur pour les appareils fixes, l’application pour les appareils qui sortent.

Dans tous les cas, faites un test après l’installation, en suivant notre page sur les fuites et le kill switch : un routeur mal configuré peut laisser passer les requêtes DNS hors du tunnel sans rien laisser paraître.