Bbox Proximus et VPN du travail : j’ai arrêté de cocher « passthrough » et trouvé le double NAT

Trois interrupteurs me regardaient dans l’interface de mon routeur : « PPTP Passthrough », « L2TP Passthrough », « IPsec Passthrough ». Mon VPN du travail refusait de démarrer, j’avais une réunion dans vingt minutes et, puisque chacun de ces réglages contenait le mot VPN, j’étais à deux doigts de tous les activer puis de redémarrer la maison entière. Le Web fonctionnait, Teams hors VPN aussi, et la veille encore mon portable professionnel s’était connecté sans histoire depuis un autre réseau.

Je pensais donc avoir trouvé le coupable : la Bbox Proximus devait « bloquer le VPN ».

Le mot « passthrough » m’a envoyé dans la mauvaise direction

J’avais ajouté un routeur mesh derrière l’Internet Box pour une raison banale : le bureau était à l’autre bout de l’appartement et je voulais un Wi-Fi plus régulier. Internet Box d’un côté, routeur mesh de l’autre, câble Ethernet entre les deux. L’installation avait pris quelques minutes. Tout le reste marchait.

Puis j’ai ouvert le client VPN imposé par mon employeur. Connexion. Attente. Échec. J’ai donc ouvert les réglages avancés du mesh et trouvé ces fameuses options de passthrough. Le nom semblait presque écrit pour mon problème.

Mais avant de modifier quoi que ce soit, j’ai fait un test beaucoup moins élégant : j’ai pris le portable sous le bras, je me suis rapproché de l’Internet Box et je l’ai connecté directement à son Wi-Fi. Le VPN professionnel s’est ouvert du premier coup. Portail interne. Lecteur réseau. Application métier. Tout était là. Je suis revenu sur le Wi-Fi du mesh.

Même portable, même compte, même client. Échec. Ce test venait de déplacer le problème. La connexion Proximus pouvait transporter mon VPN, et le VPN pouvait joindre l’entreprise. Ce qui changeait était le routeur que j’avais ajouté entre les deux. Pour la première fois, les trois cases « passthrough » me semblaient moins importantes que le chemin lui-même.

Deux routeurs, deux traductions

J’ai alors regardé l’adresse WAN du mesh. Elle commençait par 192.168.128. Son réseau local, lui, distribuait des adresses en 192.168.1.x. Le schéma est soudain devenu beaucoup plus parlant que les options avancées du routeur. Mon portable n’était pas simplement derrière un routeur. Il était derrière un routeur qui recevait lui-même une adresse privée d’un autre routeur.

Portable → mesh → Internet Box → Internet.

Le mesh faisait du NAT. L’Internet Box faisait du NAT. Double NAT.

Ce type de montage est facile à créer sans vraiment le vouloir lorsqu’on ajoute son propre routeur ou système mesh derrière la box de l’opérateur. En Belgique, le contexte a également évolué : l’IBPT encadre désormais le libre choix du modem, tandis que Proximus déploie ses équipements plus récents, dont l’Internet Box+ avec Wi-Fi 7.

Pour mon problème, le détail important n’était pas le modèle inscrit sur la box. C’était beaucoup plus concret :

qui, chez moi, était réellement en train de router le trafic ?

Et chez moi, la réponse était devenue : deux appareils.

Le passthrough n’était pas un bouton « réparer mon VPN »

C’est ici que j’avais mal compris le vocabulaire. Un réglage « IPsec passthrough » n’efface pas le routeur placé devant le VPN. Il aide certains trafics VPN à traverser la traduction d’adresses effectuée par ce routeur. Ce n’est pas la même chose.

Pour IPsec/IKEv2, cette distinction compte. Microsoft documente notamment le rôle d’UDP 500 et 4500 et les échecs qui peuvent apparaître lorsqu’un routeur, un pare-feu ou un équipement NAT sur le chemin empêche correctement l’établissement du tunnel.

L’image qui m’a finalement aidé était plus simple que la documentation : le passthrough aide un véhicule particulier à franchir un péage ; il ne supprime pas le deuxième péage que j’ai moi-même installé dix mètres plus loin. J’avais donc commencé à régler la traversée avant même de me demander pourquoi mon trafic devait traverser deux routeurs.

J’ai arrêté de cocher des cases et posé une seule question à l’IT : « Quel protocole utilise notre profil ? » La réponse : IKEv2/IPsec. À cet instant, « IPsec passthrough » devenait pertinent.

Mais le test direct sur l’Internet Box m’avait déjà appris quelque chose de plus utile : je n’avais pas besoin de changer de fournisseur ni de toucher au serveur VPN de l’entreprise. Je devais d’abord comprendre ce que mon deuxième routeur ajoutait au chemin.

Le WAN privé était le détail qui comptait

Les instructions disponibles pour l’Internet Box décrivent justement une autre manière d’utiliser un routeur personnel derrière l’équipement Proximus, notamment avec la fonction « Hôte LAN ponté », l’adresse MAC WAN du routeur privé et le port LAN 1/Bridge.

Ce détail m’a ramené à l’adresse que j’avais vue quelques minutes plus tôt. Mon mesh recevait une adresse privée de l’Internet Box parce que je l’avais simplement branché derrière elle en mode routeur. J’avais créé deux réseaux sans réellement décider d’en créer deux.

Le plus absurde était que je n’avais même pas besoin des fonctions de routage du mesh. Je l’avais acheté pour mieux couvrir l’appartement en Wi-Fi. J’ai donc choisi la solution la moins ambitieuse. Au lieu de transformer l’Internet Box en chantier réseau dix minutes avant une réunion, j’ai passé mon système mesh en mode point d’accès.

Après son redémarrage, il continuait à diffuser le Wi-Fi jusque dans le bureau. Mais il ne créait plus son propre réseau routé. J’ai reconnecté le portable. Puis le VPN du travail. Authentification. Connexion. Le portail interne est apparu. Cette fois, je n’avais changé ni serveur VPN, ni compte, ni fournisseur d’accès, ni mot de passe.

J’avais simplement retiré une fonction réseau dont je n’avais jamais eu besoin.

Ce que les témoignages Proximus m’ont évité de conclure

Je n’étais manifestement pas le premier à voir un VPN professionnel cesser de fonctionner après un changement de box ou de topologie.

Un utilisateur du forum Proximus décrivait par exemple un portable professionnel avec Cisco AnyConnect qui fonctionnait sur d’autres réseaux mais plus chez lui après le remplacement de sa Bbox, alors que son service IT considérait le poste correctement configuré.

C’est précisément le genre de situation qui pousse à accuser immédiatement la box. Avant : ça marche. Après : ça ne marche plus. La box est donc coupable. Mon propre test m’avait montré pourquoi ce raccourci pouvait coûter une heure. Le bon diagnostic n’était pas le nom du matériel qui venait de changer. C’était l’endroit exact où le comportement changeait.

Directement sur l’Internet Box : VPN OK.

Derrière mon mesh en mode routeur : échec.

Même mesh devenu simple point d’accès : VPN OK.

À ce stade, le bouton « passthrough » avait perdu beaucoup de son mystère. Et surtout, j’avais cessé de traiter le VPN comme le problème simplement parce que c’était lui qui affichait l’erreur.

J’avais réparé le travail, mais supprimé mon VPN personnel

Le passage du mesh en point d’accès avait réparé ce qui comptait immédiatement : je pouvais rejoindre le réseau de l’entreprise et commencer ma réunion. Mais il avait supprimé une fonction que j’utilisais sur mon routeur personnel : le VPN grand public configuré pour certains appareils de la maison.

Remettre le mesh en mode routeur uniquement pour récupérer cette fonction aurait été absurde. Je venais précisément de comprendre que je n’avais pas besoin d’une deuxième couche de routage. C’est là que la petite application utilisée pour les tests de cet article a trouvé sa place. Au lieu de reconstruire mon réseau autour du VPN, je l’ai installée directement sur mon portable personnel.

J’ai lancé la connexion automatique. Quelques secondes plus tard, le tunnel était établi. Navigateur ouvert. Messagerie ouverte. Pages chargées normalement. Et le mesh restait un simple point d’accès.

Ce résultat avait quelque chose de presque reposant après la matinée passée dans les paramètres du routeur. Je n’avais plus besoin de faire cohabiter mon besoin personnel de VPN avec l’architecture de toute la maison. La box routait. Le mesh couvrait l’appartement. Le VPN professionnel restait responsable de l’accès à l’entreprise.

Et le petit service créait son propre tunnel sur l’appareil qui en avait besoin, sans me demander de réintroduire le deuxième NAT que je venais d’éliminer. Sa limite était claire : il ne remplaçait pas le VPN de mon employeur et ne pouvait pas me donner accès aux ressources internes de l’entreprise.

Mais pour mon usage personnel, cette séparation était justement son intérêt. Je n’avais pas besoin d’un VPN qui me donne une nouvelle raison de modifier mon réseau. J’avais besoin d’un VPN qui puisse fonctionner sans que mon réseau domestique devienne son projet d’installation.

Passthrough, protocole, double NAT : je les avais regardés dans le mauvais ordre

Au début, j’avais trois mots techniques devant moi et je les traitais comme trois solutions possibles. Passthrough. Protocole. Double NAT. En réalité, ils répondaient à trois questions différentes. Le double NAT décrivait mon architecture : deux routeurs traduisaient successivement le trafic. Le protocole décrivait la manière dont le VPN professionnel essayait de construire son tunnel.

Le passthrough n’était qu’un mécanisme destiné à aider certains de ces trafics à franchir le NAT. Une fois ces rôles séparés, je n’avais plus besoin d’activer tout ce qui contenait le mot VPN. Le test le plus utile de la matinée avait finalement tenu en deux connexions Wi-Fi : directement sur l’Internet Box, puis derrière mon mesh. La première fonctionnait. La seconde échouait.

Le passage du mesh en point d’accès avait ensuite fait fonctionner le même VPN au même endroit, tandis que le petit service me permettait de conserver un tunnel personnel sans reconstruire une deuxième couche de routage.

J’avais passé vingt minutes à regarder des cases « VPN passthrough » alors que mon réseau m’avait déjà donné la question qui comptait : avant de chercher comment faire traverser mon VPN à deux routeurs, j’aurais dû me demander pourquoi j’en avais mis deux sur son chemin.