Matter sous VPN routeur : l’appareil rejoint le Wi-Fi, puis l’appairage expire quand le réseau local se perd

L’application avait déjà affiché le message que j’attendais.

Connexion au Wi-Fi réussie.

J’ai regardé mon routeur. La nouvelle prise Matter apparaissait bien dans la liste des appareils connectés. Une adresse IP lui avait été attribuée. Son signal Wi-Fi était correct. Il ne restait, pensais-je, que quelques secondes.

La roue de l’application a continué à tourner. Puis :

Impossible d’ajouter l’appareil.

J’ai recommencé. QR code. Bluetooth.

Wi-Fi. Attente. Expiration.

À la troisième tentative, j’étais persuadé que la prise était défectueuse. À la quatrième, j’ai commencé à accuser le 2,4 GHz. J’ai séparé les bandes Wi-Fi, rapproché la prise du routeur et redémarré le téléphone.

Toujours le même résultat. Le plus agaçant était cette preuve visible dans l’interface du routeur : l’appareil avait bien rejoint mon réseau. Comment pouvait-il être connecté au Wi-Fi et, quelques secondes plus tard, devenir impossible à appairer ?

La réponse se trouvait dans une étape de Matter que je ne savais même pas que j’étais encore en train d’attendre.

« Connecté au Wi-Fi » n’est que le milieu de l’appairage

Matter 1.6 est sorti le 17 juin 2026 avec, entre autres évolutions, de nouvelles possibilités destinées à simplifier la mise en service des appareils, notamment l’appairage par NFC.

Mais rendre le début de l’installation plus simple ne supprime pas ce qui doit se passer ensuite sur le réseau local.

Lorsqu’un appareil Matter over Wi-Fi est configuré, le téléphone commence par communiquer avec lui et lui transmet les informations nécessaires pour rejoindre le réseau.

C’est exactement ce que ma prise avait réussi à faire. Seulement, l’histoire ne s’arrête pas au moment où elle reçoit une adresse IP.

Une fois sur le Wi-Fi, le contrôleur doit encore la retrouver sur le réseau local afin de terminer le commissionnement. Matter s’appuie notamment sur DNS-SD et mDNS pour cette découverte.

C’était le détail qui me manquait. Voir la prise dans la liste DHCP du routeur ne prouvait pas que Matter avait terminé. Cela prouvait seulement qu’elle était entrée dans la maison.

Mon téléphone devait encore savoir dans quelle pièce la retrouver. Et c’est précisément à cet endroit que mon réseau devenait inhabituel.

J’avais mis toute la maison derrière le VPN

Quelques mois plus tôt, j’avais installé mon fournisseur habituel directement sur le routeur. La logique était séduisante. Un tunnel.

Une configuration. Et tous les appareils de la maison pouvaient utiliser le VPN sans que j’aie à installer une application sur chacun d’eux. Téléphones.

Ordinateurs. Télévision. Console.

Objets connectés. À l’époque, le caractère global de cette configuration m’avait paru être son principal avantage. Devant ma prise Matter, cette même simplicité commençait à se retourner contre moi.

Ma configuration ne se contentait pas de donner une autre sortie vers Internet aux appareils. Elle appliquait aussi des règles de routage et de filtrage pour que leur trafic ne quitte pas accidentellement le tunnel.

Pour du trafic Internet classique, c’était exactement ce que j’avais demandé. Matter, lui, avait encore besoin que mes appareils se parlent à l’intérieur de la maison.

Home Assistant rappelle d’ailleurs que Matter dépend d’un réseau IPv6 local fonctionnel et de la circulation correcte du multicast mDNS. Les VLAN, certains filtrages multicast ou certains réglages de routeur peuvent suffire à perturber la découverte et l’appairage.

Tout à coup, le comportement de ma prise devenait beaucoup moins mystérieux. Elle réussissait à rejoindre le Wi-Fi. Mais une fois arrivée, mon téléphone ne réussissait plus correctement à la retrouver.

J’ai d’abord exclu seulement la prise du VPN

C’était la correction la plus logique. La prise avait son adresse IP locale. Je l’ai ajoutée aux exceptions de la politique VPN du routeur.

Internet normal pour elle. VPN pour le reste. Reset.

Nouveau QR code. Elle rejoint le Wi-Fi. La roue tourne.

Expiration. J’ai d’abord pensé avoir mal écrit la règle. Puis j’ai compris mon erreur : j’essayais de réparer un problème de découverte avec une simple exception d’adresse IP.

Or le mécanisme utilisé ici ressemble moins à un courrier envoyé à une adresse précise qu’à quelqu’un qui entre dans une pièce et annonce : « je suis là ». Si le réseau laisse passer les paquets adressés directement mais étouffe ces annonces locales, les appareils peuvent parfaitement avoir une IP et pourtant ne plus se trouver correctement.

C’est aussi ce qui rend ce type de panne trompeur. Le réseau n’est pas complètement cassé. Il est cassé juste au mauvais endroit.

Une discussion publique sur r/HomeNetworking en donnait une illustration très concrète en juillet 2026 : avec le VPN actif, un utilisateur arrivait toujours à joindre ses machines locales par adresse IP, tandis que les noms en .local ne fonctionnaient plus. La connectivité locale existait encore, mais la découverte mDNS avait disparu.

Cette distinction m’a fait arrêter de répéter que « le LAN fonctionne ». Une adresse IP joignable n’était pas le test dont Matter avait besoin.

J’ai coupé le tunnel du routeur pendant deux minutes

Je n’ai changé ni de prise, ni de téléphone, ni de bande Wi-Fi. J’ai simplement désactivé la politique VPN globale du routeur. Reset de la prise.

Scan du même QR code. Elle a rejoint le même Wi-Fi. Cette fois, la roue n’a presque pas eu le temps de devenir agaçante.

La prise est apparue dans l’application avec son interrupteur. J’ai appuyé dessus. Le relais a claqué.

Éteint. Allumé. Terminé.

Ce petit clic a changé ma manière de regarder toute l’installation. Le VPN n’avait pas empêché la prise d’aller sur le réseau. Il avait compliqué la conversation locale dont Matter avait encore besoin après son arrivée sur le Wi-Fi.

Et surtout, je venais de découvrir quelque chose de plus important : je n’avais jamais réellement eu besoin que cette prise sorte par un VPN commercial.

J’avais mis toute la maison dans le tunnel parce que c’était pratique. Pas parce que chaque appareil en avait besoin.

La différence paraissait anodine jusqu’au moment où cette commodité m’a obligé à réfléchir au multicast, à IPv6, aux règles locales et aux exceptions du routeur juste pour ajouter une prise électrique.

Je pouvais continuer à perfectionner l’architecture. Ou arrêter de demander à mon routeur de résoudre un problème que mes appareils Matter n’avaient pas.

J’ai déplacé le VPN vers les appareils qui en avaient réellement besoin

C’est là que OnlydogVPN^↗ a trouvé sa place dans mon installation. Pas sur la prise. Pas entre le contrôleur Matter et le reste du LAN.

Sur les appareils pour lesquels je voulais réellement un tunnel vers Internet. J’ai commencé par mon ordinateur portable, puis par les appareils que j’emporte hors de chez moi. Le réseau Matter, lui, est redevenu simplement local.

La différence la plus utile n’a pas été l’ajout d’un nouveau réglage. C’était la disparition de plusieurs réglages dont je n’avais plus besoin.

Je n’avais plus à maintenir une politique VPN globale sur le routeur en espérant qu’elle reste suffisamment stricte pour Internet tout en étant suffisamment permissive pour les protocoles de découverte locale.

Sur le portable, j’ai ouvert l’application, choisi le mode correspondant à mon usage et connecté. L’utilisation de base ne m’a pas demandé de recréer un compte traditionnel avec adresse e-mail et mot de passe.

Puis j’ai laissé Matter tranquille. Le soir même, l’ordinateur utilisait bien le tunnel. La prise apparaissait toujours immédiatement dans son contrôleur.

J’ai coupé son alimentation quelques secondes et je l’ai rebranchée. Elle est revenue. Je pouvais la commander.

Et je n’avais ajouté aucune nouvelle règle mDNS au routeur pour y parvenir. C’était beaucoup plus proche de ce que j’avais voulu depuis le début : utiliser un VPN sans transformer mon réseau domestique en projet réseau permanent.

Le routeur couvrait simplement plus de choses que nécessaire

Je comprends toujours pourquoi j’avais choisi cette architecture.

Un grand fournisseur configuré sur le routeur peut protéger d’un seul coup de nombreux appareils qui n’ont pas leur propre client VPN. Pour une télévision, une console ou une maison dans laquelle on veut réellement faire passer tout le trafic Internet par une seule sortie, c’est pratique.

Mon ancien fournisseur avait aussi davantage de régions et une histoire publique plus longue que le petit service. Mais Matter a changé le critère qui comptait pour moi.

Le problème n’était pas de savoir si mon fournisseur pouvait être configuré assez finement pour cohabiter avec Matter. Il le pouvait avec suffisamment de travail sur les règles locales.

Le problème était que je n’avais plus envie d’entretenir cette complexité pour deux ordinateurs et quelques appareils mobiles qui étaient, eux, les seuls à avoir réellement besoin du VPN.

Matter avait révélé une frontière que j’avais ignorée : partager le même Wi-Fi ne signifie pas devoir partager le même chemin vers Internet.

Et certains appareils domestiques ont bien plus besoin de se retrouver localement que d’être forcés dans mon tunnel. Au début, lorsque l’appairage expirait, je regardais le QR code, le Bluetooth et le 2,4 GHz. Maintenant, si l’appareil apparaît déjà dans le routeur avant que Matter échoue, je regarde d’abord ce que mes règles VPN font au trafic local.

Parce que, dans cette situation, le bon résultat n’est pas de réussir à faire entrer coûte que coûte toute la maison dans un tunnel.

C’est de laisser Matter terminer sa conversation locale sans obstacle.

Chez moi, cela a conduit à une architecture beaucoup plus simple : Matter reste sur le LAN, et le VPN reste sur les appareils qui ont réellement besoin de sortir par lui.