IPsec apparaît généralement dans l’un des quelques endroits. Dans le menu des protocoles d’une application VPN, à côté de WireGuard et OpenVPN. Ou dans un e-mail de l’informatique, disant que l’ancien VPN de l’entreprise est en cours de retrait et que c’est ce qui le remplace.
Alors, qu’est-ce qu’un VPN IPsec ? La réponse courte : IPsec est un ensemble de règles pour chiffrer le trafic Internet, et un VPN IPsec est un VPN construit sur ces règles.
Tout ce qui suit est là où cela devient confus, et il y a une raison à cela : IPsec a été conçu dans les années 1990, et l’internet pour lequel il a été conçu n’est pas celui que nous utilisons aujourd’hui. Il a été corrigé et étendu depuis pour suivre le rythme, ce qui le rend si compliqué aujourd’hui. Ce guide clarifie quelles parties sont encore importantes pour vous et lesquelles vous pouvez ignorer.
Table of Contents
Qu’est-ce que l’IPsec ?
Avant de parler de l’IPsec, il y a quelque chose d’autre à aborder en premier : le protocole Internet. C’est la partie d’Internet qui déplace des données d’un endroit à un autre. Il a été conçu pour livrer, sans protection, donc tout ce qu’il transporte voyage à découvert et peut être lu par quiconque le manipule en cours de route. L’IPsec est l’ensemble des normes ajoutées plus tard pour combler cette lacune. Le nom est la combinaison de ces deux idées : protocole Internet, plus sécurité.
Donc, IPsec n’est pas un protocole VPN unique, et ce n’est pas le nom d’un VPN. C’est cet ensemble de normes, celles qui rendent le protocole Internet plus sûr pour envoyer des données.
La différence est plus facile à voir côte à côte :
IPsec est le groupe de normes.
IPsec VPN est un VPN construit en utilisant ceux-ci.
IKEv2/IPsec est l’option que vous verrez dans les applications VPN. C’est une manière particulière de faire fonctionner IPsec, et c’est presque la seule encore utilisée au quotidien.
La plupart des explications passent leur temps sur les deux premiers. Le troisième est celui avec lequel vous allez réellement traiter.
Que fait réellement l’IPsec pour vous
Alors, revenons à l’IPsec. Que fait-il réellement ? Il gère deux tâches.
Le premier est le chiffrement. Les données quittant votre appareil sont brouillées, de sorte que quiconque les manipulant en cours de route, y compris votre fournisseur d’accès Internet, voit un mélange de caractères qu’il ne peut pas déchiffrer. Cela garde vos données privées.
Le second est vérification. IPsec confirme que les données proviennent réellement de l’appareil qu’elles prétendent avoir été envoyées, et que rien n’a été modifié en transit. Cela maintient les données intactes.
Différentes parties d’IPsec gèrent ces deux tâches, c’est pourquoi certains guides les présentent comme un choix que vous devez faire. Vous verrez généralement les deux listés côte à côte, l’un qui vérifie uniquement les données et l’autre qui les crypte également, avec une ligne en dessous disant que le second est plus sécurisé. Cela a cessé d’être un véritable choix il y a des années, bien que de nombreux articles le décrivent encore comme tel.
💡 Une chose à noter est que l’IPsec fonctionne également paquet par paquet, sur chaque morceau de données que votre appareil envoie, donc il n’est pas limité à ce qui se passe dans un navigateur. Le trafic qui passe par le tunnel dépend de la façon dont le VPN est configuré.
Pourquoi IPsec semble plus compliqué qu’il ne devrait l’être
En ce qui concerne la raison pour laquelle IPsec semble si compliqué, cela remonte à sa création. Il provient du milieu des années 1990, et à l’époque, Internet était un endroit beaucoup plus simple qu’il ne l’est aujourd’hui.
L’hypothèse à l’époque était que deux appareils pouvaient se joindre directement, chacun avec sa propre adresse publique, et que tout ce qui se trouvait entre eux transmettrait les données sans les toucher ni examiner de quel type de données il s’agissait.
💡 Cette partie intermédiaire mérite d’être expliquée. Les données ne voyagent pas directement d’un appareil à un autre. Elles sont transmises par des équipements intermédiaires, principalement des routeurs, chacun les dirigeant vers leur destination.
Aucune de ces hypothèses n’est valable maintenant. À la maison, votre routeur réécrit les adresses lorsque les données sortent. En dehors de la maison, les réseaux d’hôtels et de bureaux filtrent par type de trafic, laissant passer certains et rejetant les autres. Et les téléphones passent entre le Wi-Fi et les données mobiles plusieurs fois par jour.
La conception originale d’IPsec ne tenait pas compte de tout cela, et elle n’a jamais été reconstruite autour de cela. Chaque fois qu’une nouvelle situation se présentait, une autre couche était ajoutée pour que les connexions puissent toujours passer.
C’est de là que viennent les noms étranges que vous rencontrerez : les numéros de port supplémentaires et les composants décrits dans d’autres articles. La plupart de ces éléments n’étaient pas présents au départ. Ils ont été ajoutés pour maintenir le fonctionnement d’IPsec dans un monde pour lequel il n’avait pas été conçu.
IKEv2 : la partie d’IPsec que vous verrez réellement
IPsec est un groupe de normes, et l’une d’elles traite de tout ce qui doit être réglé avant que des données ne soient transférées. Celle-ci est IKE, abréviation de Internet Key Exchange. C’est également le nom que vous verrez dans une application VPN, répertorié là comme IKEv2/IPsec.
Plus en détail, IKE détermine quelle méthode de chiffrement la connexion utilisera, si chaque côté est vraiment celui qu’il prétend être, et quelles clés chiffreront et déchiffreront tout ce qui suit. Une fois qu’IKE a résolu tout cela, il confie le travail aux parties d’IPsec qui transportent vos données.
IKE a deux versions, IKEv1 et IKEv2. Certains guides décrivent ces deux versions comme deux étapes dans le fonctionnement d’IKE, mais c’est faux. Ce sont deux versions de la même chose, séparées par sept ans, et IKEv2 a été écrit pour remplacer IKEv1. Toute connexion donnée utilise l’une ou l’autre.
La confusion vient probablement du fait qu’IKEv1 a deux étapes internes, connues sous le nom de Phase 1 et Phase 2. IKEv2 n’a pas du tout cette structure.
IKEv1 a également été retiré à présent. Les principaux clients VPN ont abandonné le support pour celui-ci et il n’est pas recommandé pour de nouvelles configurations, ce qui laisse IKEv2/IPsec comme presque la seule version encore en usage général.
IKEv2 a une fonctionnalité supplémentaire qui mérite d’être connue. Si vous utilisez un VPN sur votre téléphone, il peut maintenir une connexion lorsque le réseau sous-jacent change. Par exemple, si vous quittez la maison : votre téléphone perd le Wi-Fi et passe aux données mobiles, et le tunnel VPN reste actif au lieu de se déconnecter et de vous demander de vous reconnecter. Cela provient d’une partie optionnelle d’IKEv2 appelée MOBIKE, donc cela dépend de votre application et de ses serveurs qui le prennent en charge. Quand c’est le cas, c’est un véritable avantage.
Le point faible de l’IPsec : pourquoi votre VPN échoue sur le Wi-Fi de l’hôtel
IKE doit terminer sa préparation avant que le reste d’IPsec puisse commencer à déplacer vos données, et cette préparation passe par des numéros de port spécifiques : UDP 500 ou UDP 4500 sur les réseaux qui utilisent NAT.
Ces numéros de port sont des étiquettes. Chaque morceau de données traversant un réseau en porte une, indiquant quel type de trafic il s’agit, et l’équipement en cours de route le lit pour décider quoi faire avec les données. Le trafic Web porte une étiquette, le trafic email en porte une autre, et l’IPsec a la sienne.
Les étiquettes d’IPsec ont été fixées lorsque les normes ont été écrites. Chaque connexion IPsec utilise les mêmes, et tout le monde peut les consulter. Cela rend une connexion IPsec facile à reconnaître. Le matériel réseau n’a pas besoin de casser le chiffrement ou de lire quoi que ce soit à l’intérieur du paquet, car lire l’étiquette suffit à identifier le trafic IPsec. Cela signifie également qu’IPsec est facile à bloquer.
À présent, vous pouvez probablement comprendre pourquoi un VPN fonctionnant sur IPsec échoue si souvent à se connecter dans un aéroport ou un hôtel. Leur Wi-Fi permet généralement la navigation sur le web et les e-mails, mais bloque tout le reste. Ainsi, lorsque votre VPN se connecte via IPsec, le réseau lit l’étiquette, constate qu’elle n’est pas sur la liste autorisée, et la connexion n’est jamais établie. Les routeurs domestiques avec contrôle parental ou filtrage de contenu fonctionnent de la même manière à une échelle plus petite, et les réseaux mobiles sont parfois plus stricts que les connexions domestiques.
Si vous souhaitez qu’un VPN fonctionne dans des endroits comme ceux-ci, vous pouvez le changer pour un autre protocole. OpenVPN est celui à privilégier, car il peut circuler comme le fait le trafic web ordinaire et est donc autorisé. WireGuard est peu susceptible d’aider ici. Il utilise uniquement UDP et n’inclut pas d’obfuscation intégrée, donc les réseaux restrictifs peuvent toujours l’identifier et le bloquer, même s’il ne dépend pas d’un port fixe.
Deux choix que d’autres guides disent que vous devez faire : AH vs ESP et mode tunnel vs mode transport.
Dans d’autres articles sur IPsec, vous rencontrerez deux autres parties décrites comme des choix que vous devez faire. Aucun d’eux n’est vraiment une décision que vous devez prendre maintenant.
AH et ESP
Les tâches de chiffrement et de vérification mentionnées précédemment sont gérées par différents composants d’IPsec, et ces composants ont des noms :
AH gère uniquement la vérification.
ESP gère la vérification et le chiffrement ensemble.
Séparé comme ça, cela ressemble à quelque chose que vous choisiriez, et c’est ainsi que la plupart des articles sur IPsec le présentent. En pratique, il n’y a rien à choisir. Lorsque les données quittent votre réseau, votre routeur domestique réécrit les informations d’adresse qu’elles contiennent, et la vérification de l’AH couvre ces informations d’adresse. L’AH n’a aucun moyen de distinguer un routeur effectuant son travail normal de quelqu’un qui altère les données en cours de route, donc une fois que l’adresse change, la vérification échoue et la connexion se coupe.
Cela signifie qu’AH ne fonctionne pas sur un réseau domestique ordinaire, ce qui l’exclut dans presque toutes les situations. Les connexions IPsec utilisent plutôt ESP. Et si la vérification sans cryptage est tout ce dont vous avez besoin, ESP peut le faire tout seul, ce qui laisse à AH encore moins de raisons d’exister.
Mode tunnel et mode de transport
Puis la deuxième paire. Les données circulent dans l’un des deux modes :
Mode tunnel : le paquet d’origine est entièrement enveloppé à l’intérieur d’un nouveau paquet portant une nouvelle adresse.
Mode de transport : le contenu est protégé, mais les informations d’adresse d’origine restent inchangées.
Si vous utilisez un VPN, vous êtes en mode tunnel. Le mode transport est principalement utilisé pour des configurations spécifiques à l’intérieur des réseaux privés, et il n’est généralement pas parmi les options proposées par une application VPN.
En bref, aucune des deux paires ne vaut la peine d’être mémorisée. Connaître les noms suffit. Ensuite, lorsque vous tombez sur un tableau de comparaison construit autour d’eux, vous saurez qu’il n’y a aucun choix à faire, car tout a déjà été décidé pour vous.
L’utilisation d’un VPN IPsec vaut-elle toujours la peine en 2026 ?
Sur les téléphones et les appareils personnels, IPsec n’est plus le choix principal. WireGuard est plus rapide et est déjà devenu le protocole par défaut dans la plupart des applications VPN grand public. Les seuls véritables arguments restants en faveur d’IPsec sont de rester connecté lorsque le réseau change et d’être intégré au système d’exploitation, et ceux-ci ne suffisent plus à en faire un premier choix.
Dans les entreprises, la situation est inversée. Pendant des années, SSL VPN était la norme pour le travail à distance, mais la dernière décennie ne lui a pas été favorable. Les mêmes composants ont révélé des vulnérabilités critiques encore et encore, et beaucoup d’entre elles étaient exploitées avant qu’un correctif n’existe. La NSA et la CISA aux États-Unis conseillent aux organisations de privilégier l’IPsec basé sur des normes avec IKEv2 plutôt que les VPN SSL/TLS construits sur du code personnalisé, et le centre national de cybersécurité de Norvège est allé plus loin, en disant aux organisations de abandonner complètement SSL VPN. Fortinet a supprimé le mode tunnel SSL VPN de FortiOS 7.6.3 et ultérieur, laissant l’IPsec comme voie de migration pour ses clients.
Pris ensemble, IPsec est une technologie vieille de trente ans dans une position étrange : en voie de disparition sur les appareils mobiles, et fortement recommandée par les gouvernements pour les réseaux d’entreprise.
Alors, devriez-vous choisir IKEv2/IPsec ?
La question que les gens posent en premier est généralement de savoir quel protocole est le plus sûr, et la réponse honnête est que la sécurité n’est pas le facteur décisif ici. IKEv2/IPsec, WireGuard et OpenVPN sont tous considérés comme sécurisés lorsqu’ils sont configurés correctement, et chacun d’eux gardera votre trafic privé sur un réseau que vous ne faites pas confiance. Ce qui les sépare, c’est leur comportement, pas leur force.
C’est aussi pourquoi la plupart des applications ont un réglage automatique, et pourquoi le laisser tel quel est un choix raisonnable plutôt qu’un choix paresseux. L’application choisit en fonction de choses que vous ne pouvez pas facilement voir, et change lorsque la connexion ne fonctionne pas.
Si vous préférez choisir par vous-même :
IKEv2/IPsec si vous êtes principalement sur un téléphone et que vous passez entre le Wi-Fi et les données mobiles tout au long de la journée. Il se reconnecte moins souvent, et étant intégré au système d’exploitation, il tend à rester léger.
WireGuard si vous voulez l’option la plus rapide et que vous êtes sur un réseau qui n’interfère pas avec cela.
OpenVPN si vous êtes dans un endroit qui bloque les autres, comme un hôtel ou un aéroport.
Et si vous configurez cela pour accéder à un réseau d’entreprise, la décision ne vous appartient pas. Le service informatique choisit le protocole, et pour les raisons évoquées dans la dernière section, l’IPsec est de plus en plus ce qu’ils choisissent.
FAQ
Is IPsec sûr ?
Oui, quand il s’agit d’IKEv2. Les agences de cybersécurité aux États-Unis et en Norvège ont toutes deux conseillé aux organisations d’utiliser IPsec avec IKEv2 plutôt que des VPN basés sur SSL/TLS, en partie parce qu’IPsec est une norme ouverte avec une surface d’attaque plus petite. IKEv1 est l’exception. Il a été officiellement retiré en 2023 et ne devrait pas être utilisé.
IKEv2 est-il identique à IPsec ?
Pas tout à fait. IKEv2 est une partie d’IPsec, la partie qui gère tout avant que vos données ne commencent à circuler. Lorsqu’une application mentionne IKEv2/IPsec, cela signifie qu’IKEv2 négocie la connexion et qu’IPsec protège les données. Les deux noms sont utilisés de manière interchangeable dans la pratique, car IKEv2 est la seule version encore largement utilisée. C’est aussi pourquoi chercher une application IPsec, ou un paramètre IPsec, ne donne généralement rien. IPsec n’est pas quelque chose que vous installez.
Quelle est la différence entre un VPN IPsec et un VPN SSL ?
Ils fonctionnent à différents niveaux. IPsec protège le trafic paquet par paquet, au niveau du réseau. Les VPN SSL se situent plus haut : certains ne donnent qu’un accès basé sur le navigateur à des applications sélectionnées, tandis que les versions à tunnel complet transportent le trafic réseau ordinaire tout comme le fait un VPN IPsec. IPsec est une norme ouverte et les produits VPN SSL sont généralement propriétaires, ce qui fait partie des raisons pour lesquelles plusieurs agences nationales de cybersécurité recommandent désormais IPsec pour l’accès à distance.
IPsec vs OpenVPN vs WireGuard : lequel devrais-je utiliser ?
Les trois sont sécurisés. WireGuard est le plus rapide et le plus simple, et c’est le choix par défaut dans la plupart des applications grand public maintenant. IKEv2/IPsec maintient une connexion lorsque votre téléphone change de réseau et utilise moins de batterie. OpenVPN est le plus lent des trois mais le plus susceptible de fonctionner sur un réseau restrictif.
IPsec ralentit-il ma connexion ?
Légèrement. IPsec ajoute environ 50 à 80 octets à chaque paquet, donc un peu moins de vos propres données s’intègrent dans chacun d’eux. Sur une connexion normale, vous ne le remarquerez pas. Un client VPN bien conçu gère l’ajustement pour vous, et ce n’est pas quelque chose que vous devez configurer.
Dois-je ouvrir des ports pour IPsec ?
Pas si vous utilisez une application VPN. Vous n’avez pas besoin de configurer le transfert de port entrant sur votre routeur, car votre fournisseur gère le côté serveur. Cela ne se pose que si vous exécutez votre propre serveur IPsec, et il est facile de se tromper là-bas, car dans sa forme originale, la partie d’IPsec qui transporte vos données n’est pas un service basé sur des ports du tout.
Pourquoi IPsec utilise-t-il deux numéros de port ?
UDP 500 est l’endroit où la négociation de configuration a lieu. UDP 4500 existe à cause des routeurs domestiques. Les routeurs utilisent des numéros de port pour suivre à quel appareil appartient un morceau de données, et la partie d’IPsec qui transporte vos données n’a pas de numéro de port propre, donc elle ne peut pas revenir vers vous sans aide. Le port 4500 l’enveloppe dans quelque chose que le routeur peut suivre, ce qui est la façon dont presque toutes les connexions domestiques finissent par fonctionner.
IKEv2 utilise-t-il moins de batterie ?
Parfois. IKEv2 est intégré dans iOS, Android, Windows et macOS, donc l’activer utilise l’implémentation propre du système plutôt que le code inclus dans une application, ce qui a tendance à être moins lourd pour le processeur. Ce n’est pas une garantie, cependant. WireGuard a également été conçu pour être efficace, et la consommation réelle de la batterie dépend de votre appareil, de votre application et de la qualité de votre signal.
Quels sont les inconvénients de l’IPsec ?
Deux, principalement. Il est facile pour un réseau d’identifier, c’est pourquoi il échoue souvent sur le Wi-Fi des hôtels et des aéroports, et cela ajoute un peu de surcharge à chaque paquet. Aucun des deux ne concerne le chiffrement lui-même. Des protocoles plus récents comme WireGuard sont plus rapides et plus simples, c’est pourquoi la plupart des applications grand public y ont maintenant recours par défaut.
Quelle est la différence entre un VPN et un VPN IPsec ?
Un VPN est l’idée générale, une connexion chiffrée entre votre appareil et un serveur ailleurs. IPsec est l’un des plusieurs ensembles de règles pour établir cette connexion, aux côtés de WireGuard et OpenVPN. Donc, un VPN IPsec est un VPN, juste construit d’une manière particulière.
