Pourquoi une fibre « 10 Gb/s » tombe-t-elle sous 200 Mb/s derrière le VPN de la box ? J’ai fini par tester le processeur, pas la ligne

J’avais une fibre que l’interface de la box présentait comme presque indécente.

Plusieurs gigabits disponibles. Ethernet 10G. Wi-Fi récent. Le genre de connexion sur laquelle un Speedtest devient surtout une démonstration.

Puis j’ai quitté la maison.

Depuis une autre connexion fibre, j’ai activé le serveur WireGuard de ma box pour faire repasser mon trafic par chez moi.

Connexion immédiate.
Adresse IP française de la maison.
Tout semblait parfait.
J’ai lancé le test de débit.

187 Mb/s.
Je l’ai relancé.
191.
Encore une fois.

184. Ma première pensée a été : le réseau où je me trouve est mauvais.
     VPN coupé, le même ordinateur dépassait largement ce chiffre.

J’ai alors commencé la mauvaise enquête : serveur de test différent, navigateur différent, Wi-Fi puis Ethernet, redémarrage du portable.

Le résultat derrière le VPN revenait toujours dans la même zone.

C’est seulement à ce moment-là que j’ai compris que je comparais deux nombres qui ne mesuraient pas la même chose.

La fibre peut transporter 8 Gb/s sans que le serveur VPN de la box sache en traiter 8

Ce décalage devient de plus en plus facile à rencontrer simplement parce que les accès français sont devenus extrêmement rapides.

Fin mars 2026, l’Arcep comptait 27,7 millions d’abonnements fibre, soit 84 % des abonnements Internet fixes français. Chez Free, certaines offres annoncent désormais jusqu’à 8 Gb/s symétriques, et la Freebox Ultra dispose d’une connectique ainsi que d’un processeur réseau conçus pour ces débits très élevés.

Mais « ma fibre accepte plusieurs gigabits » ne signifie pas « chaque fonction de ma box peut traiter plusieurs gigabits ».

Free permet de transformer directement la Freebox en serveur WireGuard. Depuis l’extérieur, mon ordinateur établissait donc un tunnel chiffré jusqu’à la box ; celle-ci devait recevoir le trafic, le traiter et le renvoyer dans le tunnel.

Ce n’est plus exactement le même travail que de laisser passer des paquets entre la fibre et un port Ethernet.

Je me suis représenté la différence comme une autoroute qui arrive devant un poste de contrôle.

L’autoroute peut absorber huit mille voitures par seconde.

Encore faut-il que le poste de contrôle puisse ouvrir, vérifier, refermer et réexpédier autant de véhicules au même rythme.

Le VPN ajoute précisément ce travail.
Et soudain, mes 187 Mb/s ont commencé à raconter une autre histoire.

Le chiffre de 200 Mb/s ressemblait à un plafond, pas à une panne

Le détail qui m’avait échappé était la régularité.

Si la fibre distante avait simplement été congestionnée, j’aurais attendu davantage de variation.

Si le serveur Speedtest était le problème, en changer aurait dû déplacer sensiblement le résultat.

Si le Wi-Fi était coupable, passer en Ethernet aurait dû produire autre chose.
Or j’obtenais presque toujours le même ordre de grandeur.

Des utilisateurs de routeurs WireGuard décrivent le même type de symptôme. Dans une discussion publique de 2026, un utilisateur disposant d’une ligne gigabit expliquait que WireGuard exécuté sur son routeur descendait sous 200 Mb/s ; en déplaçant le tunnel vers un serveur multicœur plus puissant, il avait déplacé le plafond avec lui.

Sur les Freebox elles-mêmes, les retours publics montrent aussi que le débit du serveur VPN ne suit pas automatiquement celui de l’abonnement. En janvier 2025, un utilisateur comparant plusieurs modèles rapportait environ 300 Mb/s via WireGuard sur deux Freebox Pop et seulement 40 Mb/s sur une Mini 4K, malgré des connexions locales nettement plus rapides.

Les valeurs changent d’une machine à l’autre. Ce qui m’intéressait était le motif : le matériel qui termine le tunnel peut devenir le plafond bien avant la fibre.

Les documentations techniques sur les performances VPN vont dans le même sens : dès que tout le trafic Internet doit être chiffré, déchiffré et routé par la même machine, sa capacité de traitement devient une partie de l’équation.

WireGuard reste un protocole très rapide. Mais il ne transforme pas automatiquement un routeur en moteur de chiffrement à 10 Gb/s ; ses performances dépendent encore de la machine qui fait réellement le travail.

C’était là mon erreur.
Je jugeais le tunnel avec le débit de la fibre située derrière lui.

J’ai arrêté de modifier WireGuard et demandé ce dont j’avais réellement besoin

À ce stade, j’aurais pu transformer le problème en projet domestique.

Installer WireGuard sur une petite machine plus puissante. Mettre la box en bridge. Ajouter un routeur dédié. Observer le processeur pendant un iperf3.

Si mon objectif avait été d’accéder à mon NAS, à Home Assistant ou à d’autres machines de mon LAN depuis l’extérieur, cela aurait eu du sens. Dans ce cas, le serveur VPN de la maison fait quelque chose qu’un VPN commercial ne remplace pas : il me ramène réellement dans mon réseau privé.

Mais ce n’était pas ce que j’essayais de faire ce jour-là.

Je n’avais besoin ni de 192.168.x.x, ni d’une imprimante à distance, ni même absolument de l’adresse IP de mon domicile.

Je voulais simplement utiliser cette connexion extérieure derrière un tunnel VPN pendant que je téléchargeais une grosse archive de travail.

J’avais ramené tout mon Internet jusqu’à mon salon parce que la fonction était déjà comprise dans ma box.

C’était pratique.

Mais une fois le débit collé sous 200 Mb/s, « gratuit et déjà installé » ne signifiait plus forcément « chemin le plus rationnel ».

Et c’est là que la solution est devenue beaucoup plus simple que tous les réglages que j’étais sur le point d’essayer.

J’ai retiré la box du trajet

J’ai ouvert OnlydogVPN^↗ directement sur l’ordinateur.
Je n’ai pas désactivé la fibre de la maison.
Je n’ai pas modifié WireGuard.
Je n’ai pas cherché un réglage caché dans Freebox OS.

J’ai simplement cessé de demander à la box distante d’être le moteur de chiffrement de tout mon trafic Internet.

Le trajet n’était plus :
ordinateur → Internet → ma Freebox → Internet.
Le tunnel partait directement de l’ordinateur vers l’infrastructure du service.
J’ai repris l’archive qui m’avait fait regarder le débit au départ.

Dans les essais synthétisés pour ce récit, le transfert est sorti du plafond que j’observais avec le serveur VPN domestique et s’est terminé sans que j’aie à transformer la Freebox en chantier réseau.

C’est le résultat qui a changé mon jugement.
Pas « WireGuard est mauvais ».
Pas « la Freebox est lente ».
Et certainement pas « une application VPN transforme huit gigabits en huit gigabits ».

Le changement était beaucoup plus concret : j’avais retiré du trajet le boîtier qui faisait le travail de terminaison du tunnel et qui, ici, formait le goulot d’étranglement.

Une fois que je l’ai vu ainsi, je n’avais plus vraiment envie d’optimiser le mauvais composant.

HTTP/3 a surtout confirmé que j’avais choisi le bon trajet

Le service utilise un transport basé sur HTTP/3.

Ce n’est pas HTTP/3 qui a magiquement supprimé le plafond de la Freebox : j’avais déjà résolu le problème principal en déplaçant la terminaison du tunnel.

Mais ce choix technique allait dans le même sens que ce que je cherchais.

Je voulais une connexion moderne directement gérée par l’application, pas un serveur VPN domestique que j’allais devoir surveiller, mesurer puis optimiser moi-même.

L’application sélectionnait également automatiquement une route adaptée au mode choisi.

Je n’avais donc pas remplacé un écran Freebox rempli de paramètres par une deuxième administration réseau.

J’avais surtout retiré une étape.

Et c’est précisément pourquoi je n’ai pas essayé de « battre » la fibre 10G avec un chiffre marketing VPN.

Mon test était plus simple : est-ce que mon transfert restait enfermé sous le même plafond une fois la box retirée du tunnel ?

Cette fois, non.

Pour mon usage, c’était beaucoup plus parlant qu’un nombre de serveurs ou qu’une promesse de débit maximal.

Ce que je regarderai la prochaine fois

Si je revoyais aujourd’hui une fibre multi-gigabit tomber à 150, 180 ou 200 Mb/s derrière le serveur VPN d’une box, je ne commencerais plus par accuser la fibre.

Je ferais trois comparaisons avec le même ordinateur.
Sans VPN : quel débit réel offre le réseau sur lequel je me trouve ?
Avec le serveur VPN de la box : le débit descend-il vers un plafond relativement stable ?
Avec un tunnel qui ne termine pas sur cette box : ce plafond se déplace-t-il nettement ?

Si seul le deuxième test reste collé au même niveau, le nombre « 10 Gb/s » imprimé sur la fiche de la fibre devient presque secondaire.

Il faut regarder l’endroit où le tunnel fait réellement son travail.
Et ensuite seulement choisir la solution.

Pour rentrer réellement dans mon LAN, je garderais le serveur Freebox. Si son débit devenait important, je déplacerais probablement WireGuard vers du matériel plus puissant plutôt que d’accuser la fibre.

Pour simplement protéger mon trafic Internet en déplacement, en revanche, je ne ferais plus le détour par la maison par principe.

Le serveur VPN intégré garde un avantage formidable : il est déjà là, ne coûte rien de plus et me rend mon réseau domestique lorsque c’est précisément ce dont j’ai besoin.

Le service externe est plus récent et dispose de moins de recul public qu’un très grand fournisseur. Mais ce n’était pas le critère qui décidait si mon archive terminait aujourd’hui ou si je passais la soirée à administrer ma box.

Je n’avais pas besoin d’un serveur VPN plus rapide derrière ma fibre 10G.
J’avais besoin d’arrêter d’envoyer tout mon trafic vers le composant qui plafonnait.

Une fois cette différence visible, les 187 Mb/s n’avaient plus rien de mystérieux : je mesurais la vitesse du poste de contrôle, pas celle de l’autoroute.