Comment savoir si un réseau d’entreprise bloque le VPN par port, protocole ou DNS ? Le moment précis où la connexion casse donne souvent la réponse

Le VPN affichait toujours la même chose : Connexion… Puis rien.

J’étais dans les bureaux d’un partenaire pour la journée, connecté à son Wi-Fi invité. Internet fonctionnait parfaitement.

Messagerie. Navigateur. Visioconférence. Même le site du fournisseur VPN s’ouvrait.

Mais dès que je lançais le tunnel, l’application tournait quelques secondes avant d’abandonner.

Mon premier réflexe a été le plus mauvais : changer de serveur. France 1. France 2. Pays-Bas. Retour en France. Même résultat. J’avais beaucoup de destinations disponibles. Aucune ne répondait à la question qui comptait vraiment : qu’est-ce que ce réseau refuse exactement ? Un port ? Un protocole ? Le DNS ?

Tant que je ne savais pas où la connexion cassait, changer de serveur revenait à essayer d’autres clés sans avoir vérifié si le problème venait de la serrure.

En 2026, considérer le réseau comme un simple tuyau est devenu difficile

Quelques semaines auparavant, Microsoft avait publié les détails de CaptiveCrunch, une campagne observée depuis mai 2026 sur des réseaux d’hôtels et d’autres infrastructures utilisant des portails captifs.

Les attaquants manipulaient notamment le trafic DNS et HTTP afin de rediriger des voyageurs vers leur propre infrastructure et de voler des identifiants ou des sessions Microsoft 365.

ReliaQuest avait observé le même type de manipulation sur des passerelles Wi-Fi d’hôtels et de centres de conférence et recommandait, pour les appareils professionnels, des tunnels complets faisant également passer le DNS par une infrastructure de confiance.

Autrement dit, les administrateurs ont de vraies raisons de contrôler ce qui sort d’un réseau.

Sur un réseau d’entreprise, certaines restrictions VPN sont donc parfaitement volontaires. D’autres viennent simplement d’un pare-feu, d’un proxy, d’une politique DNS ou d’une configuration qui ne s’entend pas avec la manière dont le client VPN tente de se connecter.

La différence était essentielle pour la suite.

Je ne voulais pas apprendre à contourner une interdiction.

Je voulais savoir si j’étais devant une politique explicite — auquel cas je m’arrêtais — ou devant un Wi-Fi invité qui autorisait les VPN mais supportait mal mon client.

J’ai demandé. Les VPN personnels étaient autorisés sur le réseau invité. Très bien. Je pouvais enfin diagnostiquer au lieu de deviner.

J’ai commencé par le DNS, parce que c’est là que le trajet commence

Avant qu’un VPN établisse son tunnel, il doit généralement trouver le serveur auquel se connecter.

Si le nom de ce serveur ne se résout pas correctement, le tunnel n’a même pas encore eu l’occasion d’échouer sur son protocole.

C’est comme avoir un rendez-vous sans réussir à trouver l’adresse. La route n’est peut-être pas fermée. On n’a simplement pas encore trouvé où aller.

Cisco documente d’ailleurs les difficultés que peuvent créer, sur des réseaux professionnels, le tunnel complet, le split DNS, le DNS chiffré et la présence de plusieurs interfaces réseau. Certaines requêtes peuvent être interceptées ou bloquées lorsqu’elles empruntent un chemin inattendu.

Dans mon cas, ce n’était pas là que ça cassait. Le nom du service se résolvait. Le site du fournisseur s’ouvrait. L’application trouvait son infrastructure. Je pouvais donc enlever le DNS du haut de ma liste.

Ce simple constat m’a évité de modifier des réglages qui n’avaient rien à voir avec le problème.

Ensuite, j’ai regardé si le tunnel arrivait réellement à parler

C’est là que la distinction entre port et protocole devient plus délicate. De mon côté de l’écran, les deux peuvent produire exactement la même scène : Connexion… Connexion… Échec. WireGuard transporte par exemple ses paquets sur UDP.

OpenVPN peut fonctionner en UDP ou en TCP, avec une préférence habituelle pour UDP tout en gardant TCP comme possibilité lorsque le réseau l’exige.

Cela donne des indices.

Pas forcément le verdict.

Si un client utilisant UDP échoue sur le Wi-Fi d’entreprise mais fonctionne immédiatement sur le partage de connexion du téléphone, le problème peut venir d’un port filtré, d’un traitement restrictif de l’UDP, d’une règle visant certains types de trafic ou d’un autre contrôle intermédiaire.

Depuis mon écran, essayer de nommer précisément la règle du pare-feu aurait été de la fausse précision.

J’ai donc fait quelque chose de plus simple.

Le meilleur test n’était pas « essayer encore ». C’était ne changer qu’une seule chose

J’ai gardé : le même ordinateur ; le même VPN ; le même serveur. J’ai seulement remplacé : Wi-Fi invité → partage de connexion mobile. Connexion. Deux secondes plus tard : Connecté. Retour sur le Wi-Fi invité. Échec. Je ne connaissais toujours pas le numéro de la règle dans le pare-feu. Mais je savais déjà beaucoup plus de choses.

Mon compte fonctionnait. Le serveur fonctionnait. Le client fonctionnait. Le problème suivait le réseau.

À partir de là, réinstaller l’application ou essayer douze destinations supplémentaires n’avait plus vraiment de sens.

Les discussions entre administrateurs montrent d’ailleurs régulièrement cette tension sur les réseaux invités : laisser des prestataires rejoindre légitimement leur propre VPN sans pour autant ouvrir n’importe quel tunnel vers n’importe où. Une discussion publique entre administrateurs en 2025 décrivait précisément ce compromis.

Le blocage n’avait donc rien d’exotique.

C’était simplement le moment où la politique du réseau devenait visible.

« Port bloqué » et « protocole bloqué » ne se lisent pas toujours dans le message d’erreur

C’est probablement la chose que j’aurais aimé comprendre dès le départ. Je pensais pouvoir regarder l’échec et obtenir une réponse propre : DNS. Port. Protocole. En réalité, l’application ne voit qu’un côté de la porte.

Le pare-feu, lui, peut savoir qu’il accepte la destination mais pas tel transport, qu’il autorise du trafic web ordinaire mais refuse autre chose, ou que certains services doivent être explicitement autorisés.

Cloudflare documente la même réalité pour son client d’entreprise : lorsqu’un réseau restreint ou intercepte les connexions Internet, certaines destinations et certains flux doivent être autorisés pour que le client fonctionne correctement.

Depuis mon appareil, je pouvais donc identifier la famille du problème.

Pour savoir quelle règle précise faisait barrage, il fallait les journaux du réseau.

Puisque l’usage du VPN était autorisé, j’ai simplement posé la question au responsable réseau.

Le Wi-Fi invité était volontairement restrictif sur certains transports sortants. Voilà. Je pouvais arrêter de chercher une panne DNS imaginaire. Et, surtout, je savais maintenant ce que j’attendais du VPN suivant.

C’est seulement après ce diagnostic que j’ai ouvert l’application plus petite

J’ai lancé OnlydogVPN.

Cette fois, je n’avais aucune envie de tester vingt serveurs ou de parcourir une liste de protocoles.

Je voulais voir comment son mode destiné aux réseaux restrictifs se comportait sur ce Wi-Fi où le VPN était autorisé, mais où mon client habituel n’arrivait pas à établir son tunnel.

J’ai choisi ce mode. Connexion. Une courte attente. Puis : Connecté. J’ai ouvert ma messagerie. Chargé un document. Envoyé un fichier. La connexion restait active.

Je suis revenu dans l’application uniquement pour vérifier que le trafic n’était pas silencieusement reparti en direct.

Le tunnel était toujours là.

C’était exactement le résultat que je cherchais.

Je n’avais pas eu besoin d’ouvrir un panneau avancé pour choisir moi-même un port, basculer entre trois transports et recommencer la même expérience.

Le service s’était adapté à un réseau plus contraignant et m’avait laissé retourner travailler.

C’est là que la différence entre diagnostic et contournement est devenue très claire

La scène pourrait facilement être résumée ainsi : « le premier VPN était bloqué, le second est passé ». Mais il manque alors l’étape la plus importante. Est-ce que ce tunnel est autorisé ici ? Si l’administrateur m’avait répondu non, je me serais arrêté au premier échec. Un autre transport ne transforme pas une interdiction en permission.

Mais lorsque le réseau permet le VPN et que le premier client bute simplement sur la façon dont ce réseau traite certains transports, une solution plus adaptable devient immédiatement utile.

C’était exactement mon cas.

Et c’est là que la petite application m’a davantage convaincu qu’une longue liste de paramètres manuels.

Je n’avais pas besoin de devenir administrateur du Wi-Fi invité.

J’avais besoin d’un VPN qui fasse mieux ce travail d’adaptation à ma place.

Le DNS m’a donné le dernier indice

Une fois le tunnel connecté, j’ai repris le test du début. Résolution des noms. Navigation. Services habituels. Tout répondait. Le DNS suivait désormais une route cohérente avec la connexion active.

Après les attaques documentées cet été sur des réseaux destinés aux voyageurs, ce détail n’avait plus l’air secondaire.

Protéger le trafic tout en laissant les requêtes DNS emprunter un chemin inattendu reviendrait un peu à envoyer mes lettres dans une enveloppe fermée tout en demandant publiquement à quelqu’un d’autre l’adresse de chaque destinataire.

Les documentations de Cisco et ReliaQuest rendent ce point très concret : protéger la connexion signifie aussi regarder qui répond lorsque l’ordinateur demande où se trouve le service qu’il veut joindre.

À ce moment-là, je n’avais plus rien à diagnostiquer. Le tunnel était établi. Les noms se résolvaient. Les applications fonctionnaient. Le fichier était parti. La tâche était terminée.

La petite application a tout de même une limite

Elle propose moins de régions et possède une histoire publique plus courte que plusieurs grands fournisseurs.

Si je devais construire moi-même des configurations très précises, choisir manuellement chaque protocole ou travailler avec une équipe réseau imposant une architecture particulière, un outil plus configurable garderait un avantage évident.

Mais cette journée m’avait justement appris quelque chose sur la valeur de tous ces réglages.

Ils sont utiles lorsque je sais déjà lequel doit changer.

Devant un Wi-Fi d’entreprise qui autorise les VPN mais où mon client reste bloqué sur « Connexion… », je veux d’abord savoir à quel moment le trajet casse.

Le nom du serveur ne se résout pas ? Je regarde le DNS. Le nom se résout, mais le tunnel ne fonctionne que sur un autre réseau ? Je regarde le transport et je demande confirmation à l’IT.

Le tunnel est établi, mais certains services cessent ensuite de trouver leurs destinations ?

Je reviens au routage et au DNS.

Ces trois moments racontent déjà presque toute l’histoire dont j’ai besoin.

Je pensais devoir identifier le port exact

Au début, ma question ressemblait à un exercice d’administrateur : quel port ? quel protocole ? quel serveur DNS ?

À la fin, j’avais compris que je n’avais pas besoin de connaître la règle numéro 147 du pare-feu pour prendre la bonne décision.

J’avais surtout besoin de regarder où la connexion cessait d’avancer.

Puis de comparer avec un autre réseau.

Puis, si le VPN était autorisé, d’utiliser une solution capable de mieux s’adapter à ce que le réseau laissait effectivement passer.

Sur ce Wi-Fi invité, c’est exactement ce que la petite application a fait.

Et c’est devenu mon nouveau critère : si le réseau m’autorise à utiliser un VPN, je préfère un service qui transforme “Connexion…” en une session de travail utilisable plutôt qu’un service qui me donne vingt réglages supplémentaires pour deviner moi-même ce que le pare-feu n’aime pas.