// CLUBIC — CYBERSECURITY
Pour protéger votre connexion, votre VPN doit lui-même contourner le VPN, et ce n'est pas une erreur
Un VPN est censé faire passer vos communications dans un tunnel chiffré. Pourtant, pour fonctionner, il doit lui-même emprunter un chemin qui échappe à ce tunnel. Une exception indispensable, sans laquelle il risquerait de bloquer sa propre connexion.
Quand vous activez votre VPN, le logiciel doit établir une communication avec le serveur choisi en empruntant votre connexion Internet habituelle, en Wi-Fi, en Ethernet ou sur le réseau mobile. Il configure une interface réseau virtuelle vers laquelle il redirige le trafic à protéger et effectue les échanges cryptographiques nécessaires à la sécurisation du tunnel. Mais cette redirection ne peut pas s’appliquer à toutes les communications sans distinction. Les paquets que le VPN envoie à son propre serveur doivent, de leur côté, continuer à emprunter le réseau ordinaire. Sans quoi, le logiciel pourrait se retrouver à tourner en rond, sans jamais parvenir à joindre son serveur.
Pour comprendre ce paradoxe, il faut plonger dans les entrailles du VPN et retracer le trajet des paquets de données. Lorsque vous ouvrez une page web en passant par votre VPN, le système d’exploitation prépare les paquets destinés au site consulté. Mais au lieu de les envoyer directement sur Internet, il les dirige vers l’interface réseau virtuelle du VPN. Le client les chiffre et les encapsule dans de nouveaux paquets, adressés cette fois au serveur VPN.
Pour atteindre ce serveur, ces nouveaux paquets doivent emprunter votre connexion Internet habituelle. Or, pour protéger l’ensemble de votre trafic Internet, le VPN vient justement de demander au système de le rediriger vers son interface virtuelle. Si cette consigne s’appliquait aussi aux paquets destinés au serveur VPN, ceux-ci seraient renvoyés vers l'interface au lieu de partir sur Internet. Le client risquerait alors de les récupérer, de les chiffrer et de les encapsuler une nouvelle fois. Et ainsi de suite, sans jamais atteindre le serveur.
Pour éviter cette boucle, le VPN doit empêcher les paquets qu’il envoie à son serveur de repasser par sa propre interface virtuelle. Il prévoit donc un traitement particulier pour leur permettre d’emprunter la connexion habituelle et d’atteindre directement le serveur. Une fois reçus, celui-ci les déchiffre, en extrait les paquets d’origine et les achemine vers le site consulté.
Une interface réseau est le point de passage par lequel un ordinateur envoie et reçoit des données. La carte Wi-Fi et le port Ethernet disposent chacun d’une interface, que le système d’exploitation utilise pour communiquer avec le réseau auquel l’appareil est connecté.
Lorsque vous activez un VPN, le logiciel crée généralement une interface virtuelle. Le système la considère comme une interface réseau à part entière, mais elle ne correspond à aucun équipement physique. Elle sert à récupérer les paquets que le VPN doit protéger, avant de les chiffrer et de préparer leur transmission au serveur distant.
Ces données chiffrées quittent ensuite l’ordinateur par l’interface Wi-Fi ou Ethernet habituelle. Le tunnel VPN n’est donc pas une deuxième connexion Internet, mais une communication sécurisée qui emprunte celle dont vous disposez déjà.
Selon le système d’exploitation et le logiciel utilisé, les clients VPN ne procèdent pas tous de la même façon pour éviter cette boucle. Certains excluent directement leurs propres communications du tunnel, d’autres utilisent des règles de routage pour leur réserver un chemin distinct.
Sur Android, une application VPN peut ainsi demander au système de ne pas rediriger vers l’interface virtuelle la connexion qu’elle utilise pour joindre son serveur. Ses propres échanges empruntent alors directement le réseau Wi-Fi ou mobile, même lorsque le trafic des autres applications passe par le VPN.