De L2TP à WireGuard sur Internet-Box 5 : migrer sans perdre l’accès distant à son réseau

Le nouveau routeur fonctionnait tellement bien que j’ai cru que la migration était terminée.

Le Wi-Fi était revenu. Mon téléphone s’était reconnecté. Le NAS apparaissait encore dans le réseau local. Même les appareils que je m’attendais à devoir reconfigurer avaient repris leur place.

J’ai donc rangé l’ancienne box.

C’est seulement le lendemain, dans le train, que j’ai ouvert le profil VPN « Maison » enregistré depuis des années sur mon portable. L2TP a essayé de se connecter, puis a échoué.

J’ai vérifié le mot de passe. Puis le nom DynDNS. J’ai relancé la connexion.
Rien.

Et là, le détail que j’avais considéré comme secondaire pendant le changement de routeur est devenu le problème principal : sur l’Internet-Box 5, je ne retrouvais plus le serveur L2TP que j’utilisais auparavant. La documentation actuelle de Swisscom réserve encore L2TP aux Internet-Box 2, 3 et 4, tandis que l’Internet-Box 5 utilise WireGuard pour son serveur VPN.

Mon accès Internet avait parfaitement survécu au changement de routeur.
Mon accès à la maison depuis Internet, lui, non.

J’ai compris à ce moment-là que le bon plan n’était pas simplement de « remplacer L2TP par WireGuard ».

Il fallait surtout éviter de supprimer l’ancienne porte avant d’avoir vérifié que la nouvelle s’ouvrait réellement depuis l’extérieur.

Le pire moment pour migrer, c’est quand on est déjà dehors

J’ai eu de la chance : je n’étais pas encore parti plusieurs jours.

Le portail de configuration de l’Internet-Box doit être utilisé depuis le réseau domestique. Si je découvrais le problème une fois à l’hôtel, avec mon NAS à plusieurs centaines de kilomètres, je ne pouvais pas compter sur le vieux réflexe consistant à « corriger ça ce soir ».

Le profil WireGuard devait donc être créé et testé avant le départ.

De retour chez moi, je n’ai pas commencé par toucher aux anciens profils. J’ai plutôt noté les quatre choses dont j’avais réellement besoin à distance : l’interface du NAS, son partage de fichiers, Home Assistant et une machine que j’utilise parfois en SSH.

Cette liste a changé mon critère de réussite.
Avant, je demandais :
« Le VPN est-il connecté ? »

Maintenant, je demandais :
« Est-ce que chacune de ces quatre choses fonctionne quand je ne suis plus sur mon Wi-Fi ? »
La différence paraît petite. Pour une migration d’accès distant, elle change presque tout.

Je n’avais pas besoin de recréer L2TP à l’intérieur de WireGuard

Mon deuxième réflexe était de chercher dans WireGuard les éléments auxquels L2TP m’avait habitué : utilisateur, mot de passe, secret partagé, serveur.

Je cherchais les mauvaises cases.

WireGuard fonctionne avec des paires de clés et des règles indiquant quel trafic appartient au tunnel. Je me le suis représenté comme un badge accompagné d’un itinéraire : le badge identifie l’appareil, l’itinéraire lui dit quelles destinations doivent passer par cette connexion.

Pour migrer l’Internet-Box, je n’avais pas besoin d’aller beaucoup plus loin dans la théorie.

Depuis la maison, j’ai ouvert le portail de la box, activé le serveur VPN et créé un accès WireGuard. Sur téléphone, Swisscom permet de récupérer la configuration avec un QR code ; sur ordinateur, on peut importer le fichier de configuration dans l’application WireGuard.

Un réglage, en revanche, méritait toute mon attention.

Le firmware actuel de l’Internet-Box permet de choisir si le client WireGuard peut seulement accéder à Internet ou s’il peut également atteindre le LAN.

Pour quelqu’un qui veut simplement faire sortir son trafic Internet par sa connexion domestique, l’accès Internet peut suffire.

Pour moi, cela aurait raté le but.

Le NAS, Home Assistant et mes autres machines vivent dans mon réseau local. J’ai donc autorisé l’accès au LAN.

À partir de là, la configuration semblait terminée.
Elle ne l’était pas encore.

Le test important a commencé quand j’ai quitté mon propre Wi-Fi

J’ai importé le profil WireGuard sur le portable et activé le tunnel.
Connexion immédiate.
L’icône était verte.

Quelques années plus tôt, je me serais probablement arrêté là.

Cette fois, j’ai coupé le Wi-Fi du portable et activé le partage 5G de mon téléphone. Swisscom recommande justement de tester la connexion VPN depuis un réseau extérieur plutôt que depuis le LAN auquel on essaie d’accéder.

WireGuard s’est reconnecté.
J’ai ouvert l’adresse locale du NAS.
La page d’administration est apparue.

Puis j’ai ouvert un dossier réseau.
Un PDF s’est affiché.
Home Assistant a chargé son tableau de bord.

Enfin, j’ai lancé une connexion SSH vers la machine restée allumée.
C’est seulement là que j’ai considéré le nouveau chemin comme utilisable.

Cette vérification n’est pas du perfectionnisme. Dans une discussion publique de la communauté Swisscom, un utilisateur d’Internet-Box 5 arrivait à joindre ses machines par WireGuard et à ouvrir certaines interfaces de son NAS, alors que son partage SMB restait inaccessible. Un autre participant obtenait bien un accès SMB sur sa propre installation.

Le cas ne signifie pas que l’IB5 bloque SMB. Il montre quelque chose de beaucoup plus utile lors d’une migration : le tunnel peut fonctionner alors que la ressource dont on dépend ne fonctionne pas encore.

Une icône verte n’aurait pas suffi si, trois jours plus tard, le dossier dont j’avais besoin chez un client refusait de s’ouvrir.

Je n’effacerais donc un ancien accès L2TP qu’après avoir fait ce test depuis la 5G ou un autre réseau extérieur. Et si l’ancien routeur est encore disponible pendant la transition, je préfère le garder à portée de main jusqu’à ce que les ressources importantes aient toutes passé le test.

Pas pour continuer à vivre avec L2TP.
Simplement pour ne pas transformer une migration en porte qui se verrouille derrière moi.

Ensuite, j’ai réalisé que mon VPN maison faisait deux métiers à la fois

Le vendredi suivant, j’ai enfin utilisé le nouveau tunnel dans la situation qui m’intéressait vraiment.

J’étais dans un café. J’ai activé WireGuard, ouvert le NAS et récupéré un dossier que j’avais oublié de synchroniser.

Cette fois, la migration avait rempli sa promesse.
Le fichier venait réellement de mon réseau domestique.

J’aurais pu laisser le tunnel ouvert pour le reste de l’après-midi. C’est ce que je faisais auparavant avec L2TP : puisqu’il était déjà connecté, autant faire passer aussi toute ma navigation par la maison.

Après avoir passé du temps à clarifier les routes, cette habitude m’a paru moins logique.
Pour atteindre mon NAS, le tunnel doit aboutir chez moi.

Pour travailler normalement sur le Wi-Fi du café, je n’ai pas spécialement besoin que chaque page fasse un détour par mon salon avant de revenir sur Internet.

Ce sont deux tâches différentes.
J’ai donc coupé WireGuard une fois le dossier récupéré.
Pour ma connexion ordinaire sur le réseau public, j’ai lancé OnlydogVPN.

Le changement utile n’était pas d’obtenir une nouvelle page remplie de serveurs et de protocoles.

C’était justement l’inverse.

J’ai ouvert l’application, lancé la connexion et repris mon navigateur, mon courrier et mes documents. Le service est conçu autour d’une connexion en une action et d’un routage automatique, ce qui évite de transformer une simple session de travail sur Wi-Fi public en nouvelle séance d’administration réseau.

Il ne remplace pas WireGuard sur l’Internet-Box.
Et c’est précisément ce qui rend les deux outils complémentaires.
WireGuard reste mon chemin vers la maison.

L’autre service protège ma connexion quand je suis loin de la maison.

Une fois cette séparation faite, je n’avais plus à demander à mon routeur domestique d’être également mon VPN de voyage.

Le détail qui m’a fait garder cette séparation

Plus tard, le Wi-Fi du café a commencé à hésiter.

J’ai fermé le portable, changé d’endroit puis repris sur le partage de connexion de mon téléphone. La connexion protégée a retrouvé son chemin sans que j’aie à retourner dans les réglages de l’Internet-Box ou à choisir manuellement un autre serveur.

Le routage automatique et l’utilisation sur des réseaux changeants font partie des usages pour lesquels l’application est conçue. Dans cette situation, c’était exactement ce que je voulais : moins de décisions à prendre une fois que mon vrai travail avait déjà commencé.

Le service possède néanmoins un historique public plus court que les grands fournisseurs, moins d’évaluations indépendantes et un choix de régions plus réduit. Si mon objectif principal était de sélectionner manuellement une destination parmi une très longue liste de pays, cette limite compterait davantage.

Mais ce n’était pas ce qui m’avait laissé regarder un vieux profil L2TP incapable de joindre ma maison depuis le train.

Le problème important était la continuité.
Je n’avais pas besoin que WireGuard ressemble à L2TP.

J’avais besoin de créer le nouveau chemin pendant que j’étais encore chez moi, d’autoriser correctement l’accès au LAN, puis de quitter réellement le réseau domestique et de tester le NAS, les fichiers et les machines dont je dépendais avant de supprimer l’ancien accès.

Une fois ce chemin validé, je pouvais arrêter de lui demander de faire un deuxième travail qui n’avait rien à voir avec l’accès distant.

Sur l’Internet-Box 5, ma migration n’a donc pas été terminée quand L2TP a disparu. Elle l’a été quand j’ai pu couper le Wi-Fi de la maison, ouvrir mon NAS en WireGuard depuis la 5G, récupérer mon fichier, puis fermer ce tunnel en sachant exactement quel outil utiliser pour la connexion suivante.