Quel protocole VPN tester lorsqu’un réseau universitaire bloque WireGuard ? Celui qui change la forme du trafic, pas seulement le serveur

Le VPN fonctionnait très bien la veille.
C’est ce qui m’a fait vérifier mon mot de passe deux fois.
J’étais encore chez moi.
WireGuard.
Connexion presque instantanée.
Débit correct.

Rien à signaler.
Le lendemain matin, même ordinateur, même application, même abonnement.
Mais cette fois, j’étais assis à une table de bibliothèque universitaire.
Le Wi-Fi fonctionnait.
Moodle s’ouvrait.
Ma messagerie aussi.

Le fichier de 480 Mo que je devais envoyer à mon groupe avant notre rendez-vous de 10 heures était prêt.

J’ai lancé le VPN.
Connexion…
Puis :
Échec.
J’ai changé de serveur.
Même chose.
Une autre ville.
Toujours rien.
Ma première conclusion était assez peu imaginative :
le VPN avait décidé de tomber en panne le jour de la rentrée.

Nous étions justement à cette période où les campus français recommencent à se remplir, entre fin août et septembre.

J’avais donc beaucoup de raisons de soupçonner mon application.
Et une seule de soupçonner le Wi-Fi.
J’ai fini par tester cette dernière.

Trente secondes de partage de connexion ont changé le diagnostic

J’ai coupé le Wi-Fi universitaire.
Hotspot du téléphone.
Même serveur WireGuard.
Connexion.
Trois secondes.
Le tunnel était établi.

Je l’ai coupé.
Retour sur le Wi-Fi du campus.
Connexion.
Échec.
Je l’ai refait une fois, uniquement parce que le résultat me paraissait trop propre.
4G :

WireGuard fonctionne.
Wi-Fi universitaire :
WireGuard ne fonctionne pas.
À partir de là, changer encore de serveur n’avait plus beaucoup de sens.
Le serveur répondait.
Le compte fonctionnait.

L’ordinateur aussi.

Ce qui changeait, c’était le réseau entre mon ordinateur et le serveur.

Cette différence est parfaitement compatible avec le fonctionnement d’eduroam : les identifiants peuvent fonctionner d’un établissement à l’autre, mais le réseau qui fournit réellement l’accès conserve ses propres politiques locales.

Autrement dit, eduroam n’est pas un Internet mondial identique derrière le même nom de Wi-Fi.

L’authentification voyage.

Les règles du pare-feu, elles, restent locales.

WireGuard a une qualité qui devient aussi une faiblesse sur certains réseaux

J’utilisais WireGuard pour de bonnes raisons.
Il est léger.
Rapide.
La connexion se fait généralement sans que j’aie à réfléchir au protocole.
Sur mon réseau domestique, c’était exactement ce que je voulais.
Mais deux caractéristiques comptent beaucoup dès qu’un réseau commence à filtrer.

WireGuard transporte son trafic en UDP.

Et il ne cherche pas, par lui-même, à masquer la nature de ce trafic. Son propre projet précise que l’obfuscation doit être ajoutée dans une couche séparée lorsqu’elle est nécessaire.

Cela change complètement le diagnostic.

Si le campus bloque l’UDP utilisé par le tunnel, déplacer WireGuard du serveur A vers le serveur B ne change rien au problème.

Et si le réseau reconnaît surtout la forme du trafic WireGuard, changer de pays ne change toujours pas ce qui quitte mon ordinateur.

J’étais en train d’essayer différentes destinations avec le même véhicule devant une barrière qui n’aimait pas ce véhicule.

Il fallait changer le véhicule.

Mon premier réflexe a été OpenVPN TCP

Mon fournisseur principal proposait plusieurs protocoles.
Ici, c’était un vrai avantage.
J’ai quitté WireGuard et choisi OpenVPN en TCP.

La logique est classique : lorsqu’un réseau bloque ou maltraite certains flux UDP, un tunnel TCP peut réussir à passer là où WireGuard échoue.

Cette fois :
Connecté.
J’ai presque considéré le problème comme réglé.
J’ai ouvert le dossier partagé.
Fonctionnel.
Puis lancé mon fichier de 480 Mo.

2 %.
4 %.
6 %.
Le transfert avançait.

Simplement, il avançait comme si quelqu’un avait remplacé le Wi-Fi universitaire par une connexion beaucoup plus ancienne.

J’avais maintenant un tunnel.
Mais mon rendez-vous approchait.
À 9 h 51, j’étais à 18 %.
C’était déjà mieux qu’un WireGuard incapable de se connecter.
Ce n’était toujours pas ce que je voulais utiliser toute la journée.
Et c’est là que mon critère a changé une deuxième fois.

Je ne cherchais plus seulement un protocole que le réseau laisse entrer.

Je cherchais un tunnel capable de traverser ce réseau sans transformer chaque utilisation du VPN en compromis permanent.

Les étudiants découvrent souvent ce blocage par le mauvais symptôme

En mars 2026, un étudiant de Penn State décrivait publiquement une situation très proche sur eduroam.

Son VPN fonctionnait auparavant, puis refusait soudain de se connecter à différents serveurs sur le réseau universitaire. Il avait d’abord pensé à un problème du client, essayé de le réinstaller, puis commencé à soupçonner le réseau lui-même lorsque même le site du fournisseur devenait difficile à joindre.

C’est exactement le piège.
Un pare-feu ne vous affiche pas forcément :
WireGuard vient d’être filtré.
Vous voyez seulement :
Connexion…
Échec.

Alors vous changez de serveur.
Vous réinstallez.
Vous redémarrez.

Vous cherchez une panne du côté du VPN alors que le réseau local est celui qui a changé les règles.

J’avais déjà perdu assez de temps avec cette boucle.

J’ai arrêté de choisir un protocole et choisi le problème

C’est à ce moment-là que j’ai ouvert OnlydogVPN^↗.
Je ne voulais pas refaire le même parcours :
WireGuard ;
OpenVPN UDP ;
OpenVPN TCP ;
port ;

serveur ;
recommencer.
J’ai utilisé le mode prévu pour un réseau restrictif.
Connexion.
Le statut est passé à :
Connecté.

Pas très impressionnant jusque-là.
OpenVPN TCP avait lui aussi franchi cette étape.
J’ai donc repris le test qui comptait réellement.
Même fichier.
Même bibliothèque.
Même Wi-Fi.

Téléversement.
10 %.
24 %.
41 %.
J’ai ouvert ma messagerie pendant que le transfert continuait.
Elle répondait normalement.

67 %.
Je suis allé chercher de l’eau.
Quand je suis revenu :
100 %.
Le fichier était arrivé avant les autres membres du groupe.

Pour la première fois de la matinée, je n’avais plus besoin de savoir quel protocole était sélectionné.

L’obfuscation comptait davantage que le nom du protocole

Le service utilise un transport basé sur HTTP/3 avec une couche supplémentaire d’obfuscation.

HTTP/3 repose sur QUIC, qui utilise UDP.

Ce détail est important.
Si le campus avait simplement bloqué tout l’UDP, ce mode n’aurait pas pu passer non plus.
Mais ce n’était manifestement pas le cas ici.
WireGuard échouait.
Le mode restrictif du second service passait.
La différence utile n’était donc pas seulement :

UDP contre TCP.
Elle était dans la manière dont le trafic se présentait au réseau.
WireGuard assume être WireGuard.

Le second service ajoute justement une couche destinée à rendre le tunnel moins évident à classifier comme un VPN standard.

Je n’avais pas besoin d’un cours de DPI plus long que ça.
Un mode était arrêté avant le serveur.
L’autre avait terminé mon fichier.

« Essayez TCP » reste un bon diagnostic, mais pas toujours une bonne destination

Si quelqu’un me demandait aujourd’hui quoi tester en premier après l’échec de WireGuard sur un campus, je ne lui dirais pas que WireGuard est mauvais.

Chez moi, je continuerais volontiers à l’utiliser.
Je lui dirais plutôt :
essayez un mode TCP si votre VPN en propose un.

C’est une manière rapide de vérifier si le problème vient du traitement de l’UDP ou du trafic WireGuard.

Mon grand fournisseur m’avait permis de faire exactement ce diagnostic.
Mais mon test avait ajouté une deuxième question :
une fois connecté, est-ce que je peux réellement travailler ?

Dans mon cas, OpenVPN TCP était le plan B qui prouvait qu’un autre type de tunnel pouvait franchir le réseau.

Le mode obfusqué du service plus petit était celui qui m’a permis ensuite d’oublier complètement le diagnostic.

C’était une différence beaucoup plus utile que le nom affiché dans le menu.

Il y a une vérification que je ferais avant tous ces tests

Un réseau universitaire n’est pas mon réseau personnel.

Les établissements peuvent définir leurs propres règles d’usage et de filtrage, ce qu’eduroam reconnaît explicitement.

Certaines universités fournissent également leur propre VPN pour accéder aux ressources internes.

Si le règlement du campus interdit les VPN personnels, je n’essaierais pas de contourner cette règle.

J’utiliserais le VPN officiel ou un autre accès autorisé.
Dans le réseau utilisé pour ces tests, l’usage d’un VPN personnel était permis.
Une fois ce point vérifié, le reste redevient simplement un problème technique.

Le petit service ne remplace pas mon grand fournisseur partout

Il propose moins de régions.
Son historique public est plus court.
Et il existe moins d’évaluations indépendantes accumulées au fil des années.

Mon fournisseur habituel me donne aussi davantage de contrôle manuel, ce qui reste utile lorsque je veux précisément choisir un protocole ou une localisation.

Mais dans cette bibliothèque, ce contrôle avait surtout commencé par me donner une liste de choses à essayer.

WireGuard.
Autre serveur.
OpenVPN.
TCP.
Puis la question suivante.

Le service plus petit m’avait demandé quelque chose de beaucoup plus proche de mon problème réel :

le réseau est-il restrictif ?
Oui.
J’ai choisi ce mode.
Le fichier est parti.

Depuis, lorsqu’un Wi-Fi universitaire bloque WireGuard, je ne commence plus par chercher quel autre serveur WireGuard pourrait avoir davantage de chance.

Je cherche d’abord si je peux changer la manière dont le tunnel traverse le réseau.

Parce que ce matin-là, WireGuard était toujours excellent chez moi et toujours inutilisable dans la bibliothèque.

Le bon protocole n’a pas été celui qui gagnait mon benchmark à la maison ; c’était celui qui m’a fait arriver à la réunion avec le fichier déjà dans le dossier partagé.