Portail d’entreprise bloqué par le VPN : la bonne solution était de sortir ce seul accès du tunnel

Transparence : cet article a été réalisé pour OnlydogVPN^↗. Le récit est composite, construit à partir de témoignages publics, de documentation technique et de tests de produits ; il ne reproduit pas l’expérience exacte d’une personne réelle. Les résultats décrits correspondent aux appareils, réseaux et configurations testés pour cet article.

Le message est apparu cinq minutes avant que je doive valider une demande client.

Connexion non autorisée depuis ce réseau.

J’étais pourtant à Lyon. Mon ordinateur utilisait le Wi-Fi de l’hôtel, mon VPN était actif et j’avais choisi une sortie française.

J’ai vérifié mon adresse IP.

Paris.

J’ai actualisé le portail.

Même refus.

J’ai alors essayé une deuxième sortie française, puis une troisième.

Toujours bloqué.

Presque par dépit, j’ai désactivé complètement le VPN.

Le portail s’est ouvert immédiatement.

J’avais donc trouvé le problème, mais pas encore la bonne solution. Couper tout le VPN chaque fois que je voulais ouvrir un seul portail professionnel n’avait aucun sens.

Ce que je voulais était beaucoup plus précis : laisser ce portail voir directement mon IP française locale, tout en gardant le VPN actif pour le reste de l’ordinateur.

À partir de ce moment-là, chercher davantage de serveurs français ne servait plus à rien.

Le portail ne cherchait pas simplement « une IP en France »

Les systèmes d’accès d’entreprise peuvent prendre en compte l’adresse IP publique pour déterminer si une connexion provient d’un pays ou d’un réseau autorisé. Microsoft Entra permet par exemple aux administrateurs de définir des emplacements à partir de pays ou de plages d’adresses IP précises. (Microsoft Entra)

Cela expliquait assez simplement ce que j’observais.

Sans VPN, le portail voyait l’adresse française du réseau de l’hôtel.

Avec le VPN, il voyait l’adresse de sortie du service VPN.

Elle pouvait être localisée à Paris tout en appartenant à un réseau totalement différent.

J’avais donc beau changer de serveur, je ne faisais que remplacer une sortie VPN par une autre.

C’est là que mon erreur de raisonnement est devenue évidente : je cherchais une meilleure IP VPN française, alors que le portail semblait vouloir l’IP française que j’avais déjà sous le tunnel.

Couper le VPN fonctionnait, mais cassait tout le reste

J’ai terminé ma première opération avec le VPN désactivé, puis je l’ai rallumé.

Dix minutes plus tard, j’ai dû retourner sur le portail.

Même séquence.

VPN off.

Actualiser.

Connexion.

VPN on.

À la deuxième répétition, la solution de secours était devenue plus pénible que le problème.

J’avais d’autres onglets ouverts, une messagerie et plusieurs services actifs. Je ne voulais pas faire sortir tout leur trafic directement sur le Wi-Fi de l’hôtel uniquement parce qu’un portail professionnel refusait les adresses VPN.

C’est précisément le rôle du split tunneling.

Le principe tient en une phrase : certaines applications ou destinations passent par le VPN, d’autres utilisent directement la connexion locale. Cloudflare documente par exemple la possibilité d’exclure des IP ou des domaines du tunnel lorsque certains services doivent voir l’adresse réelle de l’utilisateur. (Cloudflare One)

C’était exactement le comportement dont j’avais besoin.

Pas un autre pays.

Pas un autre protocole.

Une exception.

OnlydogVPN m’a justement aidé à comprendre que je demandais autre chose

J’utilise OnlydogVPN surtout en déplacement.

C’est là que son approche me convient : peu de décisions, des préréglages centrés sur la situation, et moins de temps passé à gérer manuellement serveurs et protocoles.

J’ai donc naturellement regardé si je pouvais créer une exception très précise pour mon portail professionnel.

Ce n’est pas le type de contrôle avancé autour duquel le service est construit. Sa propre documentation positionne d’ailleurs les besoins de split tunneling, d’IP dédiée ou de configuration réseau très détaillée parmi les cas où un fournisseur plus configurable peut être préférable. (OnlydogVPN)

Cette limite m’a finalement évité de perdre du temps.

Le problème que j’avais devant moi n’était plus « comment rendre mon VPN plus discret ? » ou « quelle sortie française essayer ? ».

Il fallait simplement séparer deux usages :

le portail professionnel devait sortir directement ; le reste pouvait rester dans le tunnel.

J’ai donc gardé OnlydogVPN pour ce pour quoi je l’utilisais déjà, et traité ce besoin professionnel comme une exception réseau spécifique plutôt que d’essayer de transformer toute ma configuration autour d’un seul site.

Le réglage utile était beaucoup plus simple que mes changements de serveur

Sur l’ordinateur utilisé pour ce portail, j’ai testé une solution disposant d’un split tunneling explicite.

Proton VPN permet notamment d’exclure des applications du tunnel et, selon la plateforme utilisée, d’appliquer des règles plus fines. (Proton VPN)

Je n’avais pas envie de maintenir une liste technique d’adresses IP appartenant au portail. J’ai donc fait quelque chose de beaucoup plus lisible : réserver un navigateur au travail.

Edge pour le portail.

Mon navigateur habituel pour le reste.

J’ai exclu Edge du tunnel.

Puis j’ai reconnecté le VPN.

Premier contrôle : mon navigateur habituel utilisait toujours la sortie VPN.

J’ai ensuite ouvert Edge.

Le portail s’est chargé immédiatement.

Authentification.

Code MFA.

Tableau de bord.

J’ai validé ma demande client.

Pendant ce temps, le reste de l’ordinateur continuait à utiliser le VPN.

Cette fois, la configuration correspondait enfin au problème réel.

Je ne peux pas observer la règle interne exacte utilisée par le portail pour classer chaque connexion. Mais le résultat était net : sur le même ordinateur et le même Wi-Fi, la sortie VPN était refusée tandis que l’IP française locale permettait l’accès.

Je n’avais donc plus besoin de jouer avec les serveurs.

L’erreur à éviter : exclure trop de trafic

Une fois que cela fonctionnait, la tentation était d’exclure simplement mon navigateur principal.

Ce serait plus pratique.

Mais cela signifierait aussi que toute ma navigation dans ce navigateur contournerait le VPN, pas seulement le portail professionnel.

J’ai préféré conserver une séparation volontairement simple :

Edge = accès professionnel direct.

Le reste = VPN.

Ce choix avait aussi l’avantage d’être visible. Je savais immédiatement quel trafic ne passait plus dans le tunnel.

Les discussions d’utilisateurs autour du split tunneling reviennent souvent à ce même besoin quotidien : faire passer seulement certaines applications hors du VPN sans désactiver toute la connexion. (Reddit / r/VPNQuestion) Pour mon cas, une seule application exclue était plus facile à comprendre et à maintenir qu’une accumulation de règles.

Il y avait toutefois une condition importante.

Sortir du tunnel n’aide que si l’IP locale est déjà la bonne

Le split tunneling ne transforme pas une connexion britannique ou canadienne en connexion française.

Il révèle simplement au portail la connexion Internet réelle.

J’étais à Lyon. Le Wi-Fi de l’hôtel me donnait déjà une IP française. En faisant sortir mon navigateur professionnel du tunnel, je présentais donc au portail précisément ce qu’il acceptait.

Si j’avais été à Londres ou Montréal, la situation aurait été différente : contourner le VPN aurait révélé une IP britannique ou canadienne.

Dans ce cas, la solution devrait venir du système d’accès approuvé par l’entreprise — passerelle professionnelle, VDI, accès distant géré ou autre dispositif prévu par l’équipe informatique — et non d’une succession de VPN personnels.

Cette distinction m’a finalement permis de séparer deux problèmes que j’avais mélangés au départ.

Pour mes usages ordinaires en voyage, je préfère toujours une application qui automatise les décisions réseau au lieu de m’obliger à gérer des dizaines de paramètres. C’est précisément ce qui rend OnlydogVPN intéressant dans mon usage quotidien.

Pour ce portail professionnel particulier, en revanche, je ne cherchais pas une connexion plus intelligente dans le tunnel.

Je cherchais une porte de sortie contrôlée.

Mon erreur initiale avait été de comparer les VPN sur leurs serveurs français alors que le portail me montrait déjà la réponse : l’IP française qu’il acceptait était celle que le VPN était justement en train de masquer.