Pourquoi le Wi-Fi gratuit de l’aéroport marche-t-il sans VPN mais bloque le VPN ? Le problème commence avant le tunnel

Le Wi-Fi de l’aéroport fonctionnait parfaitement.

Safari ouvrait les pages.

Mon application de compagnie aérienne actualisait la porte d’embarquement.

Je pouvais même regarder une vidéo.

Puis j’ai activé mon VPN.

« Connexion… »

Rien.

J’ai attendu.

Toujours rien.

Je l’ai coupé.

Internet est revenu immédiatement.

À ce moment-là, j’étais assis à quelques mètres de ma porte avec un ordinateur contenant des documents de travail et exactement le type de réseau public sur lequel j’avais envie d’utiliser un VPN.

Le paradoxe était assez irritant:

le Wi-Fi dont je voulais me protéger était précisément celui qui refusait mon tunnel.

J’ai d’abord pensé que le VPN était en panne.

En réalité, le problème avait commencé avant même que le tunnel puisse s’établir.

Sur un Wi-Fi d’aéroport, « connecté » ne veut pas encore dire « libre d’aller sur Internet »

Dans les grands aéroports comme Paris-CDG et Orly, le Wi-Fi gratuit passe par une infrastructure de hotspot avec une étape de connexion.

Ce fonctionnement est courant sur les réseaux publics.

Le téléphone rejoint bien le Wi-Fi, mais le réseau peut encore attendre que j’ouvre son portail captif, accepte les conditions ou termine une autre étape avant de me donner un accès Internet normal. (IETF, RFC 8952)

Apple décrit d’ailleurs exactement cette séquence sur iPhone et iPad: rejoindre le réseau, faire apparaître la page de connexion, puis valider ce qu’elle demande. (Apple Support)

C’est là que j’avais créé mon premier blocage.

Mon VPN essayait de joindre son serveur alors que l’aéroport attendait encore que je passe par sa propre page.

J’ai donc changé l’ordre.

VPN coupé.

Wi-Fi rejoint.

Portail ouvert.

Conditions acceptées.

Une page web normale s’est chargée.

Ce petit geste suffit souvent à débloquer le problème, et c’est aussi ce que décrivent des voyageurs confrontés aux portails d’hôtels et d’aéroports.

Mais dans mon cas, l’histoire ne s’est pas arrêtée là.

J’ai relancé le VPN.

« Connexion… »

Toujours rien.

Cette fois, le portail n’était plus responsable.

Le navigateur pouvait sortir, mais pas mon tunnel habituel

C’était le détail qui me manquait.

Un réseau public peut autoriser la navigation web ordinaire tout en laissant moins de liberté à certains autres types de trafic.

C’est d’ailleurs une difficulté assez connue pour que les standards réseau prévoient des méthodes de repli lorsque certains échanges VPN passent mal à travers des équipements intermédiaires. (IETF, RFC 8229)

Pas besoin d’en faire une étude de protocoles.

Dans mon cas, le résultat était évident.

Sans VPN:

web, messagerie, application de voyage.

Avec le mode habituel de mon grand fournisseur:

connexion bloquée avant même que le tunnel démarre.

J’ai essayé un autre serveur.

Puis un deuxième.

Même écran.

C’est là que la taille du réseau de mon fournisseur a cessé d’être le critère principal.

Je cherchais un meilleur serveur alors que je n’avais pas encore de chemin utilisable

Mon VPN habituel avait pourtant beaucoup de qualités.

Des années d’existence.

Beaucoup de pays.

Beaucoup de serveurs.

Sur une connexion ordinaire, cette variété est pratique: si une route ralentit, je peux en essayer une autre.

J’ai appliqué exactement le même réflexe à l’aéroport.

Serveur A.

Échec.

Serveur B.

Échec.

Serveur C.

Toujours « connexion ».

Au bout de quelques minutes, j’ai compris que je répondais au mauvais problème.

Je ne cherchais pas encore le serveur le plus rapide.

Je cherchais un tunnel capable de s’établir sur ce Wi-Fi précis.

Tant que cette étape échouait, avoir vingt ou deux cents alternatives derrière ne changeait rien à mon document qui devait partir avant l’embarquement.

C’est à ce moment-là que j’ai ouvert ma deuxième application.

Avec OnlydogVPN^↗, j’ai traité l’aéroport comme un réseau restrictif

J’ai lancé OnlydogVPN après avoir terminé normalement le portail captif.

Au lieu de recommencer une tournée de serveurs et de protocoles, j’ai choisi la situation correspondant à un réseau public restrictif.

Connexion.

Quelques secondes.

Connecté.

J’ai ouvert ma messagerie.

Les nouveaux messages sont arrivés.

Puis le document que je devais envoyer.

Pièce jointe.

Envoyer.

Terminé.

C’était tout ce que je voulais depuis le début.

La différence utile venait de la manière dont la connexion est pensée pour les réseaux qui traitent mal les tunnels VPN ordinaires: le service ajoute de l’obfuscation afin de rendre son trafic moins évident à classifier comme VPN.

Je ne peux pas observer les règles internes de filtrage appliquées par le Wi-Fi de l’aéroport.

Mais je pouvais parfaitement observer le résultat:

mon tunnel habituel restait bloqué;

la seconde connexion s’établissait;

et mon travail pouvait repartir.

À cet instant, le problème n’était plus théorique.

Le VPN avait cessé d’être une icône coincée sur « connexion » et était redevenu un outil.

Le changement de porte a fourni le deuxième test sans que je le demande

J’aurais pu m’arrêter là.

Puis l’écran d’affichage a changé ma porte.

J’ai fermé l’ordinateur, mis le téléphone dans ma poche et traversé une bonne partie du terminal.

Quand je me suis rassis, le téléphone avait retrouvé le Wi-Fi depuis une autre zone du bâtiment.

C’était exactement le moment où je m’attendais à devoir recommencer:

ouvrir l’application,

reconnecter,

peut-être choisir une autre route.

Au lieu de cela, la connexion a récupéré.

J’ai rouvert mon courrier.

Il fonctionnait encore.

Le service utilise un transport basé sur HTTP/3 et QUIC, conçu pour mieux gérer les pertes et les changements de chemin réseau. (IETF, RFC 9000)

Pour moi, l’explication s’arrêtait là.

La conséquence était plus intéressante:

le réseau autour de moi pouvait bouger sans me renvoyer immédiatement dans l’application VPN.

Après avoir déjà perdu du temps avec le premier tunnel, c’était exactement le type de comportement que je voulais dans un aéroport.

« Désactivez le VPN » est une étape utile, pas une solution

Au départ, ce conseil me paraissait absurde.

Sur un Wi-Fi public, pourquoi couper précisément l’outil que j’ai installé pour utiliser un Wi-Fi public?

Parce qu’il faut distinguer deux moments.

Avant le portail captif, le réseau attend encore que j’effectue son étape de connexion.

À ce moment-là, couper brièvement le VPN pour ouvrir le portail est logique.

Après le portail, le réseau m’a donné son accès normal.

C’est là que je veux pouvoir remettre le tunnel.

Et si le navigateur fonctionne alors que le VPN reste bloqué, je sais désormais que je ne suis plus face au même problème.

Le portail a été franchi.

C’est la connexion VPN elle-même qui n’arrive pas à passer correctement sur ce réseau.

Cette distinction m’a évité de répéter la même manipulation inutilement.

J’ai aussi arrêté de confondre vitesse et compatibilité

Avant cette expérience, j’aurais volontiers comparé deux VPN d’aéroport avec un Speedtest.

Le plus rapide gagne.

Mais ce raisonnement suppose que les deux arrivent déjà à se connecter.

Ce jour-là, mon fournisseur habituel aurait peut-être été extrêmement rapide une fois son tunnel établi.

Je ne l’ai jamais su.

Il n’arrivait pas jusque-là.

La seconde application, elle, s’est connectée et m’a permis d’envoyer le fichier.

C’est une différence beaucoup plus fondamentale que quelques dizaines de Mbps.

Sur un réseau public contraint, une connexion utilisable vaut d’abord plus qu’une connexion théoriquement rapide.

Le grand fournisseur garde son avantage quand le réseau coopère

Mon premier service possède davantage de localisations, davantage de serveurs, plus d’années d’existence publique et beaucoup plus d’avis indépendants.

OnlydogVPN a moins de localisations et une histoire publique plus courte.

À la maison, ou sur un réseau qui laisse facilement passer tous mes tunnels, cette ampleur peut être très utile.

Mais ce n’était pas la situation devant ma porte d’embarquement.

J’avais une heure avant le vol.

Un Wi-Fi qui laissait passer le navigateur.

Un tunnel traditionnel qui refusait de démarrer.

Et un document que je voulais envoyer sans simplement abandonner le VPN.

Dans ce contexte, davantage de serveurs derrière une connexion inaccessible ne m’aidaient pas.

Une seule connexion qui franchissait réellement le réseau, oui.

C’est finalement ce que le Wi-Fi gratuit de l’aéroport m’a appris.

Quand Internet fonctionne sans VPN mais que le VPN reste bloqué sur « connexion », je ne commence plus par chercher un serveur plus rapide.

Je franchis d’abord le portail, puis je choisis le tunnel qui réussit réellement à sortir de l’aéroport avec moi.