Campus au Maroc : quand le pare-feu bloque aussi le VPN, la forme du tunnel compte plus que le serveur

Le Speedtest s’est terminé avant que mon VPN ait fini d’essayer de se connecter. C’était le détail absurde de ma première soirée sur le campus. La connexion Wi-Fi était excellente. Les pages de l’université s’ouvraient immédiatement, Moodle chargeait sans hésitation et le navigateur ne donnait absolument pas l’impression d’un réseau en panne. Mais le salon vocal où mon groupe préparait une présentation restait inaccessible.

J’avais une répétition à rejoindre, deux diapositives à vérifier et des camarades qui n’allaient pas attendre pendant que je diagnostiquais le réseau de la résidence. Mon raisonnement paraissait évident : le pare-feu bloque l’application, donc j’active le VPN. J’ai ouvert celui que j’utilisais déjà ailleurs. Connexion. Attente.

Toujours « Connexion… ». J’ai changé de serveur. France. Puis Espagne. Même résultat.

C’est là que mon raisonnement s’est retourné : je m’étais préparé à ce que le campus filtre un service. Je n’avais pas prévu qu’il puisse également reconnaître le tunnel censé contourner ce filtrage.

Le Wi-Fi rapide n’était pas forcément un Wi-Fi permissif

Une fois cette possibilité en tête, la situation paraissait beaucoup moins étrange.

Le programme Campus Connecté a accompagné le déploiement du Wi-Fi 6 haut débit sur 220 sites universitaires et cités universitaires au Maroc. Cela signifie davantage de services numériques, davantage d’appareils connectés — mais pas nécessairement un réseau plus ouvert.

Un campus peut fournir une excellente connexion tout en contrôlant assez finement ce qui la traverse.

On en trouve un exemple concret dans un cahier des charges de l’Université Abdelmalek Essaâdi relatif à des pare-feux de nouvelle génération : contrôle des applications, inspection TLS et analyse approfondie du trafic font partie des capacités demandées.

Cela ne signifie pas que tous les campus marocains appliquent les mêmes règles. Mais cela suffit à expliquer le paradoxe que j’avais sous les yeux : le Web passait ; le Wi-Fi était rapide ; le tunnel, lui, ne démarrait pas.

Et ce genre de frustration apparaît aussi dans les récits d’étudiants. Sur r/Morocco, un étudiant en résidence universitaire décrivait une connexion où la navigation Web fonctionnait alors que de nombreux autres usages étaient bloqués. Parmi les solutions envisagées : une connexion mobile personnelle ou un VPN doté d’obfuscation.

C’est ce détail qui m’intéressait. Le problème n’était pas nécessairement « Internet ne marche pas ». Internet pouvait très bien marcher. Il pouvait simplement laisser passer certaines formes de trafic et arrêter les autres à la porte.

Je changeais de serveur alors que le pare-feu regardait le tunnel

C’est l’erreur qui m’a fait perdre le plus de temps. À chaque échec, je choisissais une nouvelle destination. Paris ne passe pas ? Madrid. Madrid non plus ? Amsterdam.

Cela donne l’impression de changer complètement de route. Mais si le VPN continue de frapper à la porte de la même manière, changer ce qui se trouve derrière la porte ne change pas forcément grand-chose.

Un tunnel VPN chiffre son contenu. Cela ne rend pas pour autant toute sa présence invisible. Un réseau administré peut encore reconnaître certains comportements : la façon dont une connexion démarre, le protocole qu’elle utilise, sa destination ou d’autres caractéristiques visibles autour du trafic chiffré.

Autrement dit, mon erreur était de regarder la carte des serveurs alors que le problème se produisait avant même d’arriver sur cette carte. C’est là que le choix du transport devient intéressant. HTTP/3 repose sur QUIC, un protocole fonctionnant sur UDP avec TLS intégré et davantage d’informations de contrôle protégées que dans certains schémas plus anciens.

Le plus simple est de l’imaginer ainsi : je ne changeais plus seulement la destination du colis ; je changeais aussi la manière dont le colis se présentait au contrôle.

Cela ne rend pas un VPN impossible à bloquer. Un réseau qui coupe UDP ou QUIC peut aussi fermer cette route. Mais mon critère avait enfin changé. Je ne demandais plus :

« Quel serveur dois-je choisir ? »

Je demandais :

« Est-ce que ce tunnel arrive seulement à démarrer sur ce réseau ? »

Sur un campus qui filtre également les tunnels, cette question passe avant toutes les autres.

Mon grand VPN n’était pas mauvais ; son principal avantage ne m’aidait simplement pas ici

Le fournisseur que j’avais essayé en premier avait beaucoup pour lui. Une longue histoire publique. Un grand nombre de localisations. Des années de documentation et énormément de retours d’utilisateurs. Chez moi, ce sont de vrais avantages.

Sur le campus, ils ne résolvaient simplement pas le problème qui me bloquait ce soir-là. J’avais essayé plusieurs destinations avec les modes habituels disponibles dans l’application et j’obtenais toujours la même chose : Internet continuait de fonctionner, mais le tunnel n’arrivait pas à s’établir correctement. J’aurais pu continuer. Chercher un mode furtif. Comparer TCP et UDP.

Tester d’autres paramètres. Lire la documentation du fournisseur. Certaines grandes plateformes disposent d’ailleurs de technologies d’obfuscation très solides. Si je voulais passer du temps à comprendre exactement quelle combinaison fonctionnait sur ce réseau, cette approche pouvait parfaitement se défendre. Mais mon groupe était déjà en ligne. Je n’avais pas besoin de comprendre le pare-feu.

J’avais besoin d’entrer dans la salle.

Il faut aussi distinguer ce problème d’un autre besoin fréquent sur un campus. MARWAN met à disposition eduVPN pour la communauté marocaine de l’enseignement et de la recherche afin d’accéder de manière sécurisée à des réseaux et ressources institutionnels.

Si j’avais voulu atteindre une ressource interne de l’université, c’est évidemment ce type de solution que j’aurais regardé en premier. Mon problème était différent : je voulais faire fonctionner mon trafic Internet personnel sur un réseau où le VPN lui-même rencontrait déjà le filtre.

Cette fois, j’ai commencé par le problème, pas par le pays

J’ai ouvert OnlydogVPN^↗. Au lieu de repartir sur une carte et de sélectionner une quatrième destination, j’ai choisi le mode conçu pour les réseaux restrictifs. Connexion. Cette fois, l’état est passé à connecté. Je n’ai même pas ouvert un site pour vérifier mon adresse IP.

Je suis retourné directement vers ce qui m’avait fait chercher un VPN en premier lieu. Le salon vocal. Les noms des autres membres du groupe sont apparus. J’ai cliqué. La première chose que j’ai entendue était quelqu’un demander :

« Tu nous entends ? »

Oui. J’entendais. J’ai activé le micro. Ils m’entendaient aussi.

Quelques minutes plus tard, l’un des étudiants partageait son écran. Les diapositives défilaient. J’ai envoyé dans le chat le document que je devais corriger et le transfert s’est terminé sans que j’aie à désactiver le VPN.

C’était le test qui comptait. Pas un bouton vert. Pas une nouvelle adresse IP.

La réunion que je n’arrivais pas à rejoindre avait commencé.

Le choix technique derrière ce résultat correspondait cette fois directement au problème : le service utilise un transport basé sur HTTP/3 avec une couche supplémentaire d’obfuscation, pensée pour rendre le tunnel moins trivial à distinguer sur des réseaux restrictifs.

Je ne connaissais pas la règle exacte appliquée par le pare-feu devant moi — et je n’en avais finalement pas besoin. Ce que je pouvais observer était suffisamment clair : même Wi-Fi ; même ordinateur ; même application ;

le tunnel précédent restait bloqué ; le mode restrictif s’établissait et la conversation fonctionnait. Pour un étudiant devant rendre un travail dans quelques heures, cette différence est beaucoup plus utile qu’une théorie parfaite sur la configuration du pare-feu.

Le serveur n’avait jamais été le vrai choix

Après la réunion, j’ai compris pourquoi mes premiers essais avaient été si peu utiles. Je raisonnais comme si tous les VPN avaient déjà traversé le pare-feu et qu’il ne restait plus qu’à choisir le meilleur serveur derrière. Mais sur ce campus, la compétition se déroulait une étape plus tôt.

Il fallait d’abord réussir à faire exister le tunnel.

C’est aussi ce qui rendait l’interface plus simple du petit service particulièrement adaptée à cette situation. Je n’avais pas à transformer un problème banal — rejoindre un appel depuis la résidence — en petit cours improvisé de réseau : pays ; serveur ; protocole ;

port ; nouvel essai ; nouvelle erreur. Je choisissais le problème que j’avais. L’application s’occupait davantage du chemin.

Puis je retournais à mon travail.

Cette simplicité n’efface pas les limites du service. Son historique public est plus court que celui des grands fournisseurs, il propose moins de régions et il existe encore beaucoup moins de recul indépendant à son sujet.

Si mon critère principal était le nombre d’années d’audits, l’étendue mondiale du réseau ou la quantité de documentation publique, un acteur établi partirait avec un avantage réel. Et HTTP/3 n’est pas un laissez-passer universel : un réseau capable de bloquer UDP ou QUIC peut également fermer cette voie. Mais ce soir-là, ce n’était pas la question que j’essayais de résoudre. Le réseau universitaire fonctionnait.

Le service dont j’avais besoin ne passait pas. Mon premier VPN n’arrivait même pas à devenir une solution parce que son tunnel restait bloqué avant le départ. Le mode restrictif, lui, avait franchi cette étape et m’avait ramené dans la conversation. Le grand fournisseur avait davantage de destinations et davantage d’histoire. Le plus petit avait changé ce que le pare-feu rencontrait en premier.

Sur ce campus, c’est ce détail qui faisait toute la différence : je n’avais pas besoin d’un meilleur serveur derrière le mur ; j’avais besoin d’un tunnel que le mur laisse commencer.