Pourquoi le tunnel complet peut accélérer un transfert international sur Orange alors que le split tunnel ne change rien : le fichier doit réellement changer de route

Le fichier n’avait aucune raison apparente d’être aussi lent.

J’étais chez moi, sur une fibre Orange suffisamment rapide pour que le test local se compte en gigabits. Avec une Livebox 7 compatible et dans une zone éligible, Orange annonce aujourd’hui des débits pouvant atteindre 8 Gbit/s en téléchargement comme en envoi.

Pourtant, mon archive de travail devait partir vers un serveur à Montréal par SFTP, et la barre de progression avançait comme si j’avais ressorti une vieille connexion mobile.

Je devais livrer le dossier dans l’après-midi.

J’ai d’abord soupçonné tout ce qui se trouvait près de moi : le Wi-Fi, le SSD, le client SFTP, le serveur distant.

Ethernet : pareil.

Autre disque : pareil.

Le serveur recevait normalement des données depuis une autre connexion.

Un test de débit vers un serveur français restait excellent.

C’est précisément ce dernier résultat qui m’a fait perdre du temps. Je pensais encore que « ma fibre fonctionne à plusieurs gigabits » signifiait « n’importe quel serveur doit pouvoir recevoir mes fichiers à peu près aussi vite ».

Ce n’est pas ainsi qu’Internet fonctionne.

Et mon premier réflexe avec le VPN allait justement me le montrer.

J’ai activé le split tunnel. Le fichier n’a presque rien remarqué

J’avais déjà un VPN payant installé.

Je ne voulais pas envoyer tout le PC dans le tunnel simplement pour un transfert. J’ai donc choisi la solution qui me semblait la plus propre : le split tunneling.

Le principe paraissait parfait.

Le transfert prendrait le VPN.

Le reste de mon trafic garderait la connexion Orange directe.

J’ai ajouté l’application concernée à la règle, reconnecté le VPN et relancé l’envoi.

Même comportement.

La progression accélérait parfois pendant quelques secondes, puis revenait à son rythme précédent.

À ce stade, j’ai presque conclu que le VPN ne servait à rien pour ce problème.

Puis j’ai regardé ce que voyait réellement le serveur distant.

Son journal de connexion affichait encore l’adresse de ma ligne Orange.

Le VPN était bien connecté.

Le fichier, lui, n’était pas dedans.

C’est la distinction qui explique beaucoup de situations où le split tunnel semble « ne rien changer ». Il ne donne pas un peu de VPN à toute la machine : il décide quels flux entrent dans le tunnel et lesquels restent sur la route normale. Apple documente la même logique avec ses routes incluses, exclues et son mode permettant d’envoyer la majorité du trafic dans le tunnel.

Dans mon cas, l’application que j’avais ajoutée à la règle n’était pas toute l’histoire. Un composant séparé ouvrait la connexion de données, et ce flux échappait à ma règle.

J’avais changé un réglage.

Je n’avais pas changé la route du fichier.

Le tunnel complet a modifié quelque chose de beaucoup plus important que mon adresse IP

J’ai supprimé la règle de split tunneling et activé le tunnel complet avec le même fournisseur.

Puis j’ai recommencé exactement le même transfert.

Cette fois, le serveur distant voyait l’adresse de sortie du VPN.

Et cette fois, la progression avançait franchement.

Le VPN n’avait pas fabriqué de nouveaux gigabits.

Il avait changé le chemin qu’ils devaient emprunter.

Orange cite d’ailleurs parmi les causes possibles d’une connexion lente la capacité du réseau situé entre l’ordinateur et le serveur distant : une route vers un service peut être encombrée. Sa documentation précise également que la localisation et le réseau du serveur VPN peuvent modifier sensiblement les performances.

C’est exactement ce qu’un excellent Speedtest local ne raconte pas.

Mon PC ne possède pas une autoroute privée de huit gigabits qui va directement jusqu’à Montréal. Les paquets passent d’un réseau à un autre, et chacune de ces jonctions peut devenir le morceau lent du trajet.

L’Arcep décrit Internet comme un réseau de réseaux — des systèmes autonomes, ou AS — reliés entre eux par transit ou peering. Son baromètre 2026 montre notamment le poids du transit entre le réseau d’accès Orange et Open Transit International dans l’interconnexion française.

Avec la connexion directe, mon transfert suivait la route choisie depuis le réseau Orange vers sa destination canadienne.

Avec le tunnel complet, Orange avait d’abord une tâche beaucoup plus courte : conduire le trafic jusqu’au serveur VPN.

À partir de là, le trajet repartait par les interconnexions du fournisseur VPN.

Même destination finale.

Première partie du voyage différente.

C’est pour cela qu’un VPN peut parfois accélérer un transfert pourtant déjà chiffré. Le chiffrement ne crée pas de bande passante ; le détour peut simplement éviter l’embouteillage.

Sur Orange, l’encapsulation peut même changer autre chose que l’itinéraire

En creusant, je suis tombé sur un détail qui m’a empêché de réduire toute l’histoire à un simple « mauvais peering ».

Des tests publics sur LaFibre.info ont montré des transferts SSH fortement limités dans certaines configurations Orange lorsque le trafic portait certains marquages DSCP. Dans plusieurs cas documentés, remettre le trafic en CS0 ou le faire passer par un tunnel WireGuard/Tailscale faisait disparaître cette limite et permettait de retrouver des débits très supérieurs.

Le cas a évolué selon les équipements et les configurations IPv4/IPv6, ce qui est justement la raison pour laquelle je ne le prends pas comme une explication universelle de chaque transfert Orange.

Mais il montre une chose très concrète : encapsuler le trafic peut changer non seulement sa route, mais aussi la manière dont le réseau intermédiaire le voit.

Le DSCP fonctionne un peu comme une étiquette collée sur un colis réseau. DiffServ permet à un réseau d’utiliser cette étiquette pour appliquer différents traitements, et elle peut aussi être modifiée lorsqu’un paquet traverse certaines frontières réseau.

Quand le transfert entre dans un VPN, le réseau ne transporte plus directement le flux SFTP original. Il transporte d’abord le tunnel qui l’enveloppe.

Le colis est le même à l’intérieur.

L’emballage visible sur la route ne l’est plus forcément.

Je n’avais donc plus besoin de transformer mon après-midi en enquête DSCP pour avancer. Mon test pratique disait déjà l’essentiel : en direct, le transfert ralentissait ; une fois réellement placé dans le tunnel complet, il prenait une autre route et avançait.

Le split tunnel avait échoué parce que mon fichier n’avait jamais quitté son ancien chemin.

Je ne voulais pourtant pas transformer chaque gros fichier en exercice de routage

Le grand VPN m’avait permis de comprendre ce qui se passait.

Je n’avais pas envie de refaire le diagnostic à chaque transfert.

Mon installation contenait déjà plusieurs exceptions créées pour d’autres usages. Il fallait décider quelle application inclure, vérifier qu’un processus auxiliaire ne passait pas ailleurs, choisir une sortie, puis contrôler l’adresse vue par le serveur.

Pour un administrateur réseau, ce n’est pas particulièrement compliqué.

Pour envoyer un dossier avant une échéance, c’était déjà trop.

C’est à ce moment-là que j’ai essayé OnlydogVPN.

L’approche était plus proche de ce que je cherchais à faire : choisir une situation, lancer la connexion et laisser l’application gérer davantage de décisions derrière le bouton, plutôt que reconstruire une petite carte de routage à la main.

Il offre moins de localisations que certaines grandes marques. Cela aurait compté si mon problème avait été de choisir précisément entre vingt pays.

Ce n’était plus mon problème.

Je voulais faire passer tout le transfert par une autre route sans entretenir une liste d’exceptions.

J’ai choisi le mode adapté à la connexion, lancé le tunnel complet et relancé l’archive.

Puis j’ai vérifié une seule chose.

Le serveur ne voyait plus l’adresse Orange.

J’ai laissé la fenêtre ouverte quelques minutes.

La progression continuait.

J’ai répondu à deux messages.

Elle continuait encore.

Quand je suis revenu, l’archive était arrivée et la vérification côté serveur s’était terminée.

C’était la première fois de l’après-midi où je cessais de regarder le débit.

Le service utilise un transport fondé sur HTTP/3, et l’approche par modes évite de commencer par une longue série de choix de serveurs ou de protocoles. Dans ce test, la combinaison comptait davantage que le nom du protocole : tout le transfert restait dans le tunnel, et je n’avais plus à deviner quel processus devait être ajouté à quelle exception.

Le résultat était beaucoup plus simple que l’explication.

Le fichier était parti.

Je pouvais passer à autre chose.

Le split tunnel répondait simplement à une autre question

Je n’ai pas cessé d’utiliser le split tunneling parce qu’il serait techniquement mauvais.

Il est très pratique lorsque je sais exactement ce qui doit prendre une route différente. Je peux conserver un service local en direct et n’envoyer qu’une partie précise du trafic dans le VPN.

Mais ce jour-là, mon problème était l’inverse.

Je ne voulais pas économiser le tunnel.

Je voulais être certain que le transfert lent sorte réellement de la route qui le ralentissait.

Et pour cela, le tunnel complet supprimait l’ambiguïté.

Je n’avais plus à deviner si le client SFTP, son processus auxiliaire ou une autre connexion avait échappé à ma règle. Le fichier changeait de route avec le reste du trafic concerné.

C’est devenu mon test le plus utile lorsqu’une connexion Orange affiche un excellent débit local mais qu’une destination internationale précise reste anormalement lente : je ne regarde plus seulement le nombre de gigabits annoncé par la fibre.

Je regarde si le fichier emprunte réellement une autre route lorsque le VPN est activé.

Mon split tunnel disait que le VPN était connecté.

Avec le tunnel complet d’OnlydogVPN, le détail qui comptait enfin était ailleurs : le serveur ne voyait plus ma route Orange, la progression ne retombait plus à son ancien rythme, et l’archive est arrivée à Montréal sans que je passe le reste de l’après-midi à administrer le tunnel.