Tunneling partiel avec un VPN

Qu'est-ce que le « split tunneling » VPN et comment fonctionne-t-il ?

Commençons par le commencement : qu’est-ce que le tunneling VPN ?

Le tunneling réseau est une fonctionnalité de sécurité fondamentale fournie par les réseaux privés virtuels (VPN) pour transmettre en toute sécurité les données depuis l'appareil d'un utilisateur vers le serveur du VPN.

Pour rediriger le trafic Internet, un VPN commence par chiffrer les données sur l’appareil de l’utilisateur avant de les acheminer via le tunnel VPN, exclusif à chaque utilisateur, vers son propre serveur où l’adresse IP est remplacée par celle du VPN. Le chiffrement et le tunneling empêchent toute surveillance et toute ingérence externes pendant le transit : les données sont de fait illisibles pour les observateurs extérieurs.

Lorsqu’un VPN est activé, toute l’activité en ligne est acheminée par défaut via le même tunnel réseau et le même serveur – c’est ce qu’on appelle le tunneling complet.

Tunneling fractionné VPN

Définition du split tunneling VPN Configuration VPN qui achemine uniquement une partie sélectionnée du trafic Internet via un tunnel chiffré, permettant au reste de se connecter directement via le FAI. Contrairement au tunneling complet, le split tunneling permet aux utilisateurs de choisir quelles données sont protégées et lesquelles contournent entièrement le VPN.

Le split tunneling est une fonctionnalité supplémentaire proposée par certains VPN qui vous permet de ne faire passer par le VPN que certaines activités, en créant deux connexions simultanées : l’une protégée, l’autre directe.

Pour apprécier les avantages du split tunneling, il est utile de comprendre ce que fait réellement le masquage d’IP d’un VPN. Si le serveur VPN se trouve à São Paulo, les sites web voient une adresse IP brésilienne. Cela s’avère utile pour masquer l’origine de l’activité, mais s’avère moins efficace pour les services qui ont besoin de connaître la localisation réelle de l’utilisateur.

Quels sont les différents types de « split tunneling » pour les VPN ?

Le split tunneling VPN peut être configuré de plusieurs façons en fonction de vos besoins.

Tunneling sélectif basé sur les applications

Il s’agit de l’option la plus courante : vous sélectionnez des applications spécifiques à acheminer via le VPN, tandis que les autres se connectent directement au Web public. Cela s'avère utile pour les applications nécessitant une sécurité renforcée, comme un client de messagerie professionnel. Plusieurs applications peuvent être sélectionnées au cas par cas afin de libérer de la bande passante et de réduire la charge sur le serveur VPN.

Tunneling divisé inversé

Cette option permet de sélectionner uniquement certaines applications pour contourner le VPN, tandis que le reste du trafic Internet passe par celui-ci. Cette fonctionnalité est utile lorsque la plupart des données doivent être protégées, mais que certaines applications nécessitent une connexion directe au FAI – par exemple, les applications dépendantes de la localisation comme les services météo, ou les plateformes de streaming qui restreignent l’accès aux adresses IP des VPN.

Tunneling sélectif par domaine

Au lieu d’une configuration par application, vous choisissez des sites web spécifiques à acheminer via le VPN, tous les autres domaines utilisant le web ouvert. Il s'agit d'une approche simplifiée pour les utilisateurs qui n'ont besoin de confidentialité que pour certains contenus. Cependant, ce système est globalement nettement moins sécurisé.

Tunneling dynamique partiel

Des configurations plus fines permettent aux utilisateurs d’inclure ou d’exclure du trafic en fonction des noms de domaine DNS. Les services de sécurité peuvent préférer acheminer les requêtes vers des domaines inconnus ou suspects via un serveur spécifique pour un contrôle renforcé, tout en laissant le reste du trafic passer plus efficacement.

Quels sont les avantages du split tunneling VPN ?

Les principaux avantages du split tunneling résident dans la flexibilité, les performances et le contrôle par l'utilisateur.

Connexions plus rapides

Les VPN fonctionnent comme des serveurs proxy : avant d’accéder à un site web, la requête d’un utilisateur doit être chiffrée, acheminée via le tunnel VPN, déchiffrée, puis transmise à la destination – avant que la réponse n’effectue le même parcours en sens inverse.

Avec un VPN de qualité, la latence est généralement négligeable pour les tâches de base. Cependant, en cas d’opérations simultanées nombreuses (téléchargements, streaming, plusieurs onglets ouverts), le fait de tout acheminer via le VPN peut ralentir sensiblement les connexions. Le « split tunneling » permet aux utilisateurs de n’appliquer la protection VPN que là où cela est nécessaire, tout en conservant la vitesse ailleurs, sans avoir à activer et désactiver le VPN à chaque fois.

Connexions sécurisées pour le télétravail

Pour les utilisateurs qui ont besoin d’une protection VPN principalement à des fins professionnelles, le « split tunneling » permet au VPN d’entreprise de gérer les communications sensibles tandis que le trafic personnel utilise directement le réseau local. Remarque importante : Cela signifie toutefois que les activités non professionnelles restent exposées à la surveillance et aux cyberattaques.

Accéder simultanément à des services étrangers et locaux

Si un VPN localise l’utilisateur en Corée, une application météo affiche des résultats coréens pour un utilisateur se trouvant à Chicago. Le « split tunneling » permet aux applications dépendantes de la localisation d’utiliser le réseau local tandis que le reste du trafic transite en toute sécurité via le VPN.

Quels sont les risques de sécurité liés au « split tunneling » d'un VPN ?

Le « split tunneling » présente des avantages évidents. Mais choisir de laisser une partie du trafic contourner le VPN revient à accepter que cette partie de l’activité soit exposée.

Sécurité des données compromise

Le « split tunneling » signifie que seule une partie de l’activité en ligne d’un utilisateur est anonyme. Tout ce qui contourne le VPN peut être compromis par une surveillance externe de vos métadonnées, l’exploitation d’informations sensibles non chiffrées ou des cyberattaques malveillantes.

Internet dispose d'un chiffrement par défaut pour les sites sécurisés, mais la portée de la surveillance de masse est bien plus vaste que ne le supposent de nombreux utilisateurs. Les programmes de surveillance gouvernementale révélés par les divulgations de Snowden en 2013 ont démontré des capacités de collecte massive de métadonnées ciblant des millions d’utilisateurs.¹

Infections par des logiciels malveillants

Un VPN peut protéger les utilisateurs contre certaines cyberattaques, mais il ne peut pas protéger contre les logiciels malveillants déjà présents sur un appareil. Naviguer avec une adresse IP exposée et sans chiffrement expose l’utilisateur à des attaques par le biais de logiciels malveillants ou de logiciels espions, notamment en cas de clics accidentels sur des liens malveillants. Une fois qu’un logiciel malveillant est présent, même les données configurées pour le chiffrement VPN peuvent être compromises avant que le VPN ne puisse les protéger. Une étude du CSIRO réalisée en 2017 sur 283 applications VPN Android a révélé que 38 % d’entre elles injectaient des logiciels malveillants ou des bibliothèques de suivi dans le trafic des utilisateurs.²

Gestion du réseau et sécurité

Dans les réseaux d’entreprise ou institutionnels, le « split tunneling » peut compliquer la supervision de la sécurité. Lorsque certains appareils autorisent un accès non chiffré à l’Internet public, la surveillance devient plus difficile. Dans les contextes où des informations sensibles sont traitées, cela peut entraîner des risques financiers et juridiques.

Erreurs de configuration

Plus la configuration du « split tunneling » est complexe, plus le risque d’erreur de configuration est élevé. Si les utilisateurs ne définissent pas des règles suffisamment précises, les données sensibles destinées au VPN peuvent finir par être acheminées directement vers l’Internet public.

Le « split tunneling » sur un VPN centralisé ou décentralisé ?

Les utilisateurs qui comparent les VPN rencontreront deux grands types :

• Les VPN centralisés traditionnels s'appuient sur des serveurs qu'ils possèdent ou louent, généralement auprès du même fournisseur de services. Les utilisateurs doivent confier leur trafic au fournisseur de VPN, et une infrastructure centralisée crée un point de vulnérabilité unique susceptible d’entraîner des fuites de données.

• Les VPN décentralisés (dVPN) transmettent le trafic via un réseau décentralisé composé de nombreux nœuds impossibles à relier entre eux. Cette conception rend les fuites de données pratiquement impossibles et l’analyse du trafic extrêmement difficile.

Les VPN centralisés traditionnels peuvent offrir des débits plus élevés pour l'ensemble du trafic – après tout, un seul saut est par défaut plus rapide que plusieurs sauts. Mais cette vitesse s’accompagne d’un réseau plus vulnérable aux failles de sécurité, aux cyberattaques et aux pressions gouvernementales visant à obtenir les données des utilisateurs.

➤ Découvrez-en plus sur la différence entre les VPN centralisés et décentralisés dans le guide de cybersécurité de Nym.

Verdict de Nym : un « split tunneling » bien conçu

Si la question porte uniquement sur les mécanismes du « split tunneling », alors non : cela fonctionne de la même manière entre les VPN traditionnels et décentralisés. Les configurations de tunneling partiel constituent des modifications sélectives du tunneling complet : un utilisateur crée volontairement des exceptions pour contourner les fonctionnalités de sécurité du VPN. Tout ce qui ne passe pas par le VPN est potentiellement vulnérable à la surveillance, à l’analyse du trafic et au fait que vos activités soient associées à vous.

La confidentialité réelle dépend de l’architecture sous-jacente du réseau VPN. Les serveurs centralisés à un seul saut sont plus rapides que les dVPN à plusieurs sauts, mais au prix d’un réseau plus vulnérable aux fuites de données, aux cyberattaques et aux pressions gouvernementales visant à obtenir les enregistrements des utilisateurs.

Choisissez le niveau de confidentialité qui vous convient

Le « split tunneling » relève des préférences de l'utilisateur et permet de choisir quel trafic passe par le VPN. NymVPN offre aux utilisateurs le choix entre son mode Fast et un nouveau mode Anonyme pour une sécurité renforcée. Grâce au « split tunneling », les utilisateurs peuvent affecter le trafic véritablement sensible au mode « Anonyme », le trafic quotidien au mode « Rapide » et les activités pour lesquelles la latence est critique directement au FAI – sans compromettre l’anonymat au profit des performances.

Le « split tunneling » VPN permet aux utilisateurs de contrôler ce qui est protégé, mais la qualité de cette protection dépend de l’architecture VPN sous-jacente. Pour les utilisateurs qui ont besoin à la fois de flexibilité et d’une véritable confidentialité, NymVPN vous permet de contrôler les mesures de protection de la vie privée et la vitesse.

Références

1. The Guardian (2013) : The NSA Files
2. CSIRO/ICSI, UC Berkeley : Analyse des risques en matière de confidentialité et de sécurité des applications VPN Android (2017)